SecurityException是JVM通过SecurityManager主动拦截非法操作的结果，非程序错误；触发场景包括未授权的文件读写、系统属性访问、反射setAccessible、System.exit、网络连接及本地库加载等。
SecurityException 不是代码写错了，而是 JVM 主动拦截了操作——它由安全管理器（SecurityManager）在权限检查失败时抛出，本质是“策略拒绝”，不是运行逻辑错误。
哪些操作会触发 SecurityException
只要启用了 SecurityManager，以下行为若未被策略授权，就会立即中断并抛出异常：
- 读写文件（如 new FileInputStream("/tmp/config.txt")），路径不在 policy 授权范围内
- 调用 System.setProperty() 或 System.getProperty() 访问受限系统属性
- 使用反射访问私有成员（setAccessible(true) 被策略禁止时）
- 执行 System.exit()、Runtime.exec() 等敏感运行时操作
- 建立 Socket 连接或打开 URL 连接（网络权限未授予）
- 加载本地库（System.loadLibrary()）但缺少 RuntimePermission "loadLibrary.*"
怎么确认是不是真启用了安全管理器
别急着改代码，先定位根源：
- 检查 JVM 启动参数：是否存在 -Djava.security.manager（显式启用）
- 搜索项目代码：是否有 System.setSecurityManager(new SecurityManager())
- 查看容器环境：旧版 Tomcat（8 以前）、WebStart、Applet 默认启用；现代 JDK 9+ 已移除 SecurityManager，除非你手动加了
策略文件（.policy）配置要点
权限不是自动生效的，必须让 JVM 明确“看到”你的策略：
立即学习“Java免费学习笔记（深入）”；
- 启动时指定策略文件路径：-Djava.security.policy==/path/to/app.policy（注意是两个等号，表示“仅加载此文件”）
- 策略语法严格：每行末尾必须有分号；路径统一用正斜杠（/tmp/-，Windows 下也不能用
\） - 典型授权示例：
grant {
permission java.io.FilePermission "/tmp/-", "read,write";
permission java.lang.RuntimePermission "accessDeclaredMembers";
permission java.net.SocketPermission "example.com:80", "connect";
};
权限粒度越细越安全，避免用 "*" 宽泛授权。
代码层应对与降级处理
SecurityException 是 RuntimeException，不强制捕获，但在关键路径中建议主动防御：
- 对敏感操作加 try-catch，记录日志并提供友好提示（如“配置目录不可读，请检查权限”）
- 执行前用 AccessController.checkPermission() 预检，避免异常打断流程
- 设计降级逻辑：例如文件读取失败时，切换到 classpath 内置默认配置
- 开发调试阶段，可临时去掉 -Djava.security.manager 参数快速验证是否为沙箱问题
