these doctorat une architecture de securité

Section 2.7. Programmation Réflexive
Nous présentons ici la technique d’interception de l’appel de méthode par objet d’interposition.
Cette technique d’interception transparente de l’appel de méthode est basée sur l’utilisation d’un
objet d’interposition qui s’interpose entre deux objets de manière à intercepter les transferts de
contrôle de l’un vers l’autre. Il s’agit en fait d’une implémentation du design pattern Proxy [49]. Le
graphe des appels de méthode successifs est présenté sur la figure 2.13 où l’objet d’interposition
est appelé I. On constate que l’objet d’interposition intercepte l’appel de méthode à la fois au
moment de son transfert de A vers B et aussi lors du retour du flot d’exécution de B vers A.
A
4
1 2
I
3
B
FIG. 2.13 – Utilisation d’un objet d’interposition entre A et B
tel-00239252, version 1 - 5 Feb 2008
L’intérêt d’une approche à objets d’interposition pour la programmation à objets réflexive a
été identifié pour la première fois par Geoffrey A. Pascoe [98] pour le langage Smalltalk. La mise
en œuvre de cette technique dans un langage à typage dynamique comme Smalltalk est en fait
beaucoup plus aisée que dans le cadre d’un langage à typage fort et statique comme Java. En effet,
l’implémentation en Smalltalk consiste à créer la classe de l’objet d’interposition de manière
à ce qu’elle ne reprenne aucune des méthodes de la classe encapsulée 2 . Les appels de méthode
envoyés vers l’objet réflexif B mais interceptés par l’objet d’interposition I ne trouvent par conséquent
aucun sélecteur leur correspondant, et la méthode par défaut doesNotUnderstand est
appelée. C’est à l’intérieur de cette méthode que le passage au niveau méta est implémenté.
Cette technique est d’un usage répandu en Smalltalk et a aussi été utilisée, par exemple, pour
implémenter des références transparentes vers des objets distants [14, 82]. Dans le cadre de
ProActive (Java), l’objet d’interposition est polymorphiquement compatible avec l’objet qu’il représente,
ce polymorphisme est assuré par la génération dynamique de l’objet d’interposition
comme sous-classe de l’objet cible.
Lorsque nous faisons figurer le méta objet dans la chaîne d’appels (voir figure 2.14), nous
constatons que c’est le méta objet lui-même qui se charge d’exécuter l’appel de méthode réifié en
transférant l’appel de méthode à l’objet B puis récupére le flot d’exécution lors de la sortie de la
méthode. C’est aussi le méta objet qui communique le résultat de l’appel de méthode à l’objet
d’interposition, qui lui-même le renvoie à l’objet appelant.
A
6
1
I
2
5
Meta
4
3
B
FIG. 2.14 – Transfert de contrôle au méta niveau.
Il est indispensable que la présence du mécanisme d’interception des appels de méthode soit
complètement transparente au programme de base. En d’autres termes, la sémantique du programme
de base doit rester inchangée si le comportement de niveau méta consiste à ne rien
faire. Les conséquences de cette propriété sont multiples car elles affectent différents aspects de
l’exécution du programme.
2.7.3 Les protocoles à méta objets et la sécurité
Maintenant que nous avons introduit le mécanisme d’interception transparent des appels de
méthode, nous pouvons aborder le thème de la sécurité au sein de programme réflexif. Une étude
sur les propriétés de sécurité des protocoles à méta objets est présentée dans la thèse de Julien
Vayssière [117].
2 En Smalltalk, les méthodes sont appelées sélecteurs.
23