>Коммент конечно развернутый, но человек либо не в теме, либо намеренно искажает. Скорее просто недостаточно возился с технологией - посмотрел что за зверь да вырубил нафиг.Тем не менее, даже на основании этой возни мне очень непонравилось что я увидел.Я как-то не собираюсь веб-контенту столько прав давать.
>Апплеты делятся на подписанные и нет. Неподписанные запускаются, действительно молча, но
>им ничего описанного из выше не разрешено,
Насколько я помню - когда я юзал жабу на сайтах бывали явно самописные жаба аплеты.Которые бойко конектились скажем в IRC не задавая лишних вопросов.К любому серваку.Разумеется слепив для этого сокет (а как еще апплет может изобразить IRC протокол?).Хотите сказать что их все кто-то подписал?Или в чем тут прикол?Оно работало, пока я это не вырубил:).Правда может с тех пор все-таки безопасность подтянули или они были подписаные но если уж такой самопал подписывают - а кто и по какому критерию решает что подписать а что нет.Есть крупные сомнения что в процессе подписывания кто-то читает от и до сорцы апплетов.
При том даже если рассмотреть конект к удаленному хосту.Насколько я помню, жаба-аплет плевать хотел на всякие там настройки прокси в браузере и прочая - лепится обычный сокет, без всяких там проксей.При этом можно красиво спалить айпишник лузера невзирая на юзание им всяких там анонимайзеров (наверное и TOR не спасет в ряде вариантов) и прочая (народный метод палива IP адресов - конект на свой сервак Java апплетом).И спасибо еще если не накопать какое-то инфо о интранете(типа внутреннего IP).Ну да, privacy в 2008 году - лишняя штука.А вот JS с другой стороны подчиняется настройкам браузера.А какой у него выбор?Он то не где-то сбоку приделаный посторонний рантайм а кусок браузера.
>ни файлов (даже на чтение)
Нмфига себе "даже".Я вот всю жизнь мечтал чтобы у меня запущенные с интернета программы файло читали.В JS данная фича как правило просто не предоставляется - так как-то спокойнее.Памятуя о заколебавших меня обходах этих самых ограничений в Java.
> ни сокетов к произвольным хостам, а только к тому, с которого он был запущен,
Угу, осталось напомнить причину по которой я вырубил Java :).Да и даже это не всегда приятно.Если я скажем на какой-то сайт зашел через проксь а это гуано слепит сокет и сходит конечно же без прокся - оно радостно спалит мой IP (и спасибо если не информацию о конфигурации интранета).
>ни JNI (подгрузить библиотеку в нативном коде
>и выполнить из нее метод)
Ага, вот только если какая-то с... в очередной стодвадцатьпятый раз обойдет секурити у жабы - они у меня еще и нативный код будут гонять?Не, спасибо, я уж как-нибудь JSом обойдусь.Там средств для загрузки нативного кода тупо нет.Ни для подписанных, ни для неподписанных, ни для зеленых в крапинку.Так как-то спокойнее и черта с два это сломают какие-то хацкеры - чертовски трудно сломать функционал которого нет :)
>Подписанные апплеты могут почти все, однако JVM активно интересуется у пользователя,
>запускать ли это хозяйство, когда они стартуют, даже если цифровая подпись верна,
Все это конечно отлично, но по-моему данный функционал для веб-контента явно перебор.Нехрен веб контенту всякие там сокеты строгать и прочая.В результате запуская "IRC апплет" я чего доброго могу заодно запустить и "SMTP Spam апплет" или "сокс-прокси апплет" если автор засранец и всерьез задастся этим вопросом.То что так никто не делает... стояло бы оно на каждом втором писюке - думаю на такие фокусы все бы уже не раз насмотрелись.Достаточно вспомнить как вышел эксплойт на флеш.А тут куда больше возможностей для хацкеров потому что функционал заведомо намного разлапистее :)
>подписанный апплет может сделать так, чтобы больше про его запуск никто
>не спрашивал (ключевые слова Java KeyStore).
Это что-то типа "хакеру на заметку"?Ну да, безусловно полезный функционал.Правда смотря для кого :)
>Так что неподписанные апплеты нужны как прослойка между Web серверов и тем
>что отображается пользователю в браузере
Не, спасибо, но имхо http и браузеры в прослойках не нуждаются.Веб сервер должен отдавать веб страницы.Потому он и веб сервер, собственно.Хватит с JS возможности XML в сторону сервера асинхронно кидаться.Даже убогий JS то можно поабузить при желании (например если известно что у врага хилый сервер, можно распихать JS на популярные сервера если там плохо с фильтрацией - юзерье оных начнет качать тоннами данные с хилого сервака недруга, в идеале можно что-то типа небольшой DDoS-атаки сгородить)
>поставщиком данных для JS кода). Зачастую они разгружают Web сервер выполняя
>какую-то часть обработки данных.
Зато как они нагружают при этом клиента... ;)
>Подписанные апплеты - полнофункциональные приложения, инициируемые посредством
>браузера и переоценить их весьма сложно.
Да уж.Находка для шпионов.А также хакеров и кого там еще.Предпочитаю не запускать что попало из интернета, sorry.А то так можно и бинари из интернета запускать, но это для камикадзе.
>Как уже приводилось ранее, это, например, банковские приложения,
У моего банка - обычная веб-морда с HTML+JS по SSL.Без всяких левых выгибонов.Чем оно и хорошо.Банк кстати буржуйский, один из крупнейших в мире.Меня устраивает.И хотя я банку до некоторой степени доверяю это не значит что я готов разрешить ему шариться по моим дискам или открывать с моей машины сокеты куда попало.Для выполнения всех действий ему как-то оказывается вполне достаточно HTML+JS и процессинга на стороне сервера.Все-равно транзакции никто клиенту не позволит без участия сервера производить по очевидной причине.
>или приложения удаленного доступа (как Citrix ICA Client).
Единственное разумное применение которое не высосано из пальца.Только в этом случае я бы предпочел нативное приложение установленное там где это надо - менее тормозно.А "где попало" типа интернет кафе такое зачастую не заработает из-за подтянутой security и\или отсутствия жабы.
>Если приложение написано правильно и не завязано на конкретную платформу или версию
>JVM, то оно запуститься без установки и без наличия расширенных прав
>на многих ОС.
Мне все-таки не нравится что веб сайты могут запускать подобие программ.Жирновато это им.С учетом наличия хакеров-сракеров, спамеров и прочих добропорядочных людей которые только и думают как бы поиметь окружающих с выгодой для себя.Java таким господам имхо дает излишне много карт в руки.
