SignedObject

public final class SignedObject
extends Object implements Serializable

SignedObject是一个类，用于创建真正的运行时对象，其完整性如果未被检测到就不会受到威胁。

更具体地说，SignedObject包含另一个Serializable对象，（待被）签名对象及其签名。

签名对象是原始对象的“深层复制”（以序列化形式）。 一旦复制完成，原始对象的进一步操作对副本没有副作用。

底层签名算法由传递给构造函数的Signature对象和方法verify 。 典型的签名用法如下：

 Signature signingEngine = Signature.getInstance(algorithm,
                                                 provider);
 SignedObject so = new SignedObject(myobject, signingKey,
                                    signingEngine);
 

验证的典型用法如下（已收到SignedObject so ）：

 Signature verificationEngine =
     Signature.getInstance(algorithm, provider);
 if (so.verify(publickey, verificationEngine))
     try {
         Object myobj = so.getObject();
     } catch (java.lang.ClassNotFoundException e) {};
 

有几点值得注意。 首先，不需要初始化签名或验证引擎，因为它将在构造函数和方法verify重新初始化。 其次，为了验证成功，指定的公钥必须是用于生成SignedObject的私钥对应的公钥。

更重要的是，灵活的原因，构造和verify方法允许定制的签名引擎，它可以实现未正式为加密提供的部分安装签名算法。 但是，编写验证程序代码的程序员必须知道正在使用Signature引擎，因为它调用了verify方法的自身实现来验证签名。 换句话说，恶意Signature可能会选择在验证时始终返回true以尝试绕过安全检查。

签名算法可以是使用DSA和SHA-1的NIST标准DSA。 该算法使用与签名相同的约定来指定。 例如，可以将使用SHA-1消息摘要算法的DSA算法指定为“SHA / DSA”或“SHA-1 / DSA”（它们是等价的）。 在RSA的情况下，消息摘要算法有多种选择，因此可以将签名算法指定为例如“MD2 / RSA”，“MD5 / RSA”或“SHA-1 / RSA”。 算法名称必须指定，因为没有默认值。

加密包提供程序的名称也由构造函数的Signature参数和verify方法指定。 如果未指定提供者，则使用默认提供者。 每个安装都可以配置为默认使用特定的提供程序。

SignedObject的潜在应用包括：

• It can be used internally to any Java runtime as an unforgeable authorization token -- one that can be passed around without the fear that the token can be maliciously modified without being detected.
• It can be used to sign and serialize data/object for storage outside the Java runtime (e.g., storing critical access control data on disk).
• Nested SignedObjects can be used to construct a logical sequence of signatures, resembling a chain of authorization and delegation.

Summary

Inherited methods

From class java.lang.Object Object clone() 创建并返回此对象的副本。 boolean equals(Object obj) 指示其他某个对象是否“等于”这一个。 void finalize() 当垃圾收集确定没有更多对该对象的引用时，由对象上的垃圾回收器调用。 final Class<?> getClass() 返回此 Object的运行时类。 int hashCode() 返回对象的哈希码值。 final void notify() 唤醒正在等待该对象监视器的单个线程。 final void notifyAll() 唤醒在该对象监视器上等待的所有线程。 String toString() 返回对象的字符串表示形式。 final void wait(long millis, int nanos) 导致当前线程等待，直到其他线程调用 notify()方法或 notifyAll()方法此对象，或一些其它线程中断当前线程，或实时一定量已过去。 final void wait(long millis) 导致当前线程等待，直到另一个线程调用此对象的 notify()方法或 notifyAll()方法或经过了指定的时间量。 final void wait() 导致当前线程等待，直到另一个线程调用此对象的 notify()方法或 notifyAll()方法。

Public constructors

SignedObject (Serializable object, 
                PrivateKey signingKey, 
                Signature signingEngine)

Public methods

String getAlgorithm ()

Object getObject ()

byte[] getSignature ()

boolean verify (PublicKey verificationKey, 
                Signature verificationEngine)