>Насколько я помню - когда я юзал жабу на сайтах бывали явно
>самописные жаба аплеты.Которые бойко конектились скажем в IRC не задавая лишних
>вопросов.

В Java есть 2 типа сетевой активности, URLConnection и Socket. URLConnection разрешен всем, но неподписанным только в рамках document base апплета, Socket только подписанным.

>Есть крупные сомнения что в процессе подписывания кто-то читает от и до сорцы апплетов.

Подписывает апплет его автор, а не третья сторона. Пописан он может быть как self-signed certificate (в этом случае предупреждение гарантировано) так и нормальным сертификатом (например от VeriSign). Если выдал VeriSign кому-то сертификат, то дальше его владелец делает с ним что хочет (хоть ActiveX подписывает). Конечно за откровенную противозаконную деятельность можно попасть в CRL, но вот эта проверка отключена по умолчанию (в большинстве случаев), так что ~1000$ (или столько там сейчас сертификат стоит) и подписывайте что вздумается. Плюс как я уже говорил, можно изменить настройки JVM чтобы ничего не спрашивать даже для подписанных апплетов. Один раз не в то окошко щелкнул и все, прощай молодость.

>При том даже если рассмотреть конект к удаленному хосту - лепится обычный сокет, без всяких там проксей.

Не совсем правда. URLConnection использует HTTP/HTTPS движок браузера (!) (для MS JVM и ранних от Sun), или полностью вычитывает конфигурацию проксей (Sun JRE) поэтому наследует все прокси (хоть с авторизацией в MS домене), поэтому неподписанных апплет не запалит IP клиента за проксей. Для Socket прокси нет да и в общем случае быть не может. Кому надо, делают поддержку сами.

>Нмфига себе "даже".Я вот всю жизнь мечтал чтобы у меня запущенные с
>интернета программы файло читали.

Так в Java тоже файлы не доступны, а выходов из песочницы за всю исторю было единицы (так сразу помню только один - bytecode verifier bug). Что в принципе сопоставимо с количеством критичных проблем в JS движках.

>
>> ни сокетов к произвольным хостам, а только к тому, с которого он был запущен,
>
>Угу, осталось напомнить причину по которой я вырубил Java :)

Воспроизведете - многие люды будут благодарны :)

>Ага, вот только если какая-то с... в очередной стодвадцатьпятый раз обойдет секурити

Ну это мы уперлись в вопросы надежности реализации, а не чистоты идеи. С реализацией у всех бывают проколы.

>Не, спасибо, но имхо http и браузеры в прослойках не нуждаются. Хватит с JS возможности XML в сторону сервера асинхронно кидаться.

Концепцию тонкого клиента еще никто не отменял и в определенных сценариях она имеет место быть. А возможности, о которых Вы говорите, появились лет эдак через много после появления Java.

>У моего банка - обычная веб-морда с HTML+JS по SSL.

А я знаю кучу банков (естественно буржуинских), где используется куча апплетов. Это выбор тех людей, что делали им информационную систему.

Не подумайте, что я большой сторонник Java, просто немного знаком. А технологии, если они используются, значит они кому-то зачем-то нужны и удобны.