axis2 jax-ws_Axis2 WS-Security基础知识

于 2020-07-02 07:53:58 发布
阅读量599 收藏
点赞数
文章标签： python linux java 大数据 编程语言
原文链接：https://www.ibm.com/developerworks/java/library/j-jws4/index.html
版权

安全是许多类型的企业服务的主要要求。 尝试自己实施也是一个冒险的领域，因为即使是轻微而模糊的监督也可能导致严重的漏洞。 这些特性使安全处理的标准化具有吸引力，使许多专家可以为标准做出贡献，并避免任何个人的疏忽。 基于SOAP的Web服务可以将广泛支持的WS-Security和相关标准用于其安全需求，从而可以为每个服务配置适当的安全性。

Apache Axis2通过Rampart模块支持这些安全性标准（请参阅参考资料 ）。 在本文中，您将看到如何在Axis2上安装，配置和使用Rampart，以实现在服务请求中发送用户名和密码的基本安全功能。 在本系列的后续专栏中，您将学习如何将Rampart用于更复杂的安全性形式。

关于本系列

Web服务是Java™技术在企业计算中的重要角色。 在本系列文章中，XML和Web服务顾问Dennis Sosnoski涵盖了对使用Web服务的Java开发人员很重要的主要框架和技术。 跟随该系列以了解该领域的最新发展，并了解如何使用它们来帮助您的编程项目。

WS-安全性

WS-Security是为SOAP Web服务消息交换添加安全性的标准（请参阅参考资料 ）。 它使用SOAP消息头元素将安全信息附加到消息上，形式为令牌 ， 令牌传达不同类型的声明（可以包括名称，身份，密钥，组，特权，功能等）以及加密和加密。数字签名信息。 WS-Security支持令牌的多种格式，多种信任域，多种签名格式和多种加密技术，因此在大多数情况下，标头信息需要包括每个组件的特定格式和算法标识。 添加的信息可能导致标头信息的结构复杂，如清单1所示（经过大量编辑）—带有签名和加密的示例消息：

清单1.带有签名和加密的示例消息 
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/" ...>
 <soap:Header>
  <wsse:Security soap:mustUnderstand="1">
   <wsu:Timestamp wsu:Id="Timestamp-d2e3c4aa-da82-4138-973d-66b596d66b2f">
    <wsu:Created>2006-07-11T21:59:32Z</wsu:Created>
    <wsu:Expires>2006-07-12T06:19:32Z</wsu:Expires>
   </wsu:Timestamp>
   <wsse:BinarySecurityToken ValueType="...-x509-token-profile-1.0#X509v3"
     EncodingType="...-wss-soap-message-security-1.0#Base64Binary"
     xmlns:wsu="...oasis-200401-wss-wssecurity-utility-1.0.xsd"
     wsu:Id="SecurityToken-faa295...">MIIEC56MQswCQY...</wsse:BinarySecurityToken>
   <xenc:EncryptedKey xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
    <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5" />
    <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
     <wsse:SecurityTokenReference>
      <wsse:KeyIdentifier ValueType=
       "...#X509SubjectKeyIdentifier">LlYsHyhNnOVA9Aj7...</wsse:KeyIdentifier>
     </wsse:SecurityTokenReference>
    </KeyInfo>
    <xenc:CipherData>
     <xenc:CipherValue>g+A2WJhsoGBKUydZ9Za...</xenc:CipherValue>
    </xenc:CipherData>
    <xenc:ReferenceList>
     <xenc:DataReference URI="#EncryptedContent-ba0556c3-d443-4f34-bcd1-14cbc32cd689" />
    </xenc:ReferenceList>
   </xenc:EncryptedKey>
   <Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
    <SignedInfo>
     <ds:CanonicalizationMethod
       Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"
       xmlns:ds="http://www.w3.org/2000/09/xmldsig#" />
     <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
     <Reference URI="#Id-c80f735c-62e9-4001-8094-702a4605e429">
      <Transforms>
       <Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
      </Transforms>
      <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
      <DigestValue>lKjc5nyLQDZAIu/hZb4B6mLquow=</DigestValue>
     </Reference>
     ...
    </SignedInfo>
    <SignatureValue>TiLmWvlz3mswinLVQn58BgYS0368...</SignatureValue>
    <KeyInfo>
     <wsse:SecurityTokenReference>
      <wsse:Reference URI="#SecurityToken-faa295..."
        ValueType="...-x509-token-profile-1.0#X509v3" />
     </wsse:SecurityTokenReference>
    </KeyInfo>
   </Signature>
  </wsse:Security>
 </soap:Header>
 <soap:Body wsu:Id="Id-8db9ff44-7bef-4737-8091-cdac51a34db8">
  <xenc:EncryptedData Id="EncryptedContent-ba05..."
    Type="http://www.w3.org/2001/04/xmlenc#Content"
    xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
   <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#aes128-cbc"/>
   <xenc:CipherData>
    <xenc:CipherValue>mirmi0KuFEEI56eu2U3cICz...</xenc:CipherValue>
   </xenc:CipherData>
  </xenc:EncryptedData>
 </soap:Body>
</soap:Envelope>

在本文中，您将看到仅带有单个令牌的WS-Security标头的一些简单示例。 该系列的下一篇文章将进一步讨论清单1中所示的复杂结构的类型。

WS-Security适用于实际的SOAP消息交换。 该服务实现可以验证WS-Security是否已正确应用于传入消息，但是客户端需要事先知道他们必须实现什么才能使用该服务。 由于WS-Security的复杂性和受支持的选项数量，仅为此目的而使用文本描述可能会很困难，并且手动配置WS-Security处理可能会导致错误。 WS-Policy是用于指定Web服务的扩展要求的通用结构，而WS-SecurityPolicy是专门用于WS-Security支持的WS-Policy的扩展。 这两个标准一起支持以机器可读形式描述WS-Security需求。 可以单独使用WS-Policy和WS-SecurityPolicy信息，也可以直接将其嵌入Web服务描述语言（WSDL）文档中，以便Web服务框架可以根据服务需求自动进行配置。

城墙介绍

Rampart是Axis2安全模块，支持WS-Security，WS-SecurityPolicy，WS-SecureConversation和WS-Trust。 在本文中，您将仅看到Rampart的WS-Security和WS-SecurityPolicy函数。 以后的文章将使您了解其他功能。

因为Rampart是作为模块实现的（实际上是一对模块，rampart.mar和rahas.mar），所以它插入了Axis2处理框架，并通过在入站和出站处理，检查或生成的特定点截取消息来完成其工作。适当地更改消息。

安装Rampart

Rampart带有几个.jar文件（在发行版的lib目录中），以及一对.mar模块文件（在dist目录中）。 为了将Rampart与Axis2一起使用，必须将.jar文件添加到类路径中，并且必须将.mar文件添加到类路径或Axis2存储库结构中。

处理Rampart .jar和.mar文件的最简单方法是将它们添加到Axis2安装中。 您可以直接将Rampart lib目录中的.jar文件复制到Axis2 lib目录中，而将Rampart dist目录中的.mar文件直接复制到Axis2存储库/模块目录中。 （您还可以使用Rampart样本目录中的Ant build.xml将文件复制到Axis2安装中。只需将AXIS2_HOME环境变量设置到Axis2安装目录中，然后从打开到Rampart样本目录的控制台中运行ant 。）

对于许多WS-Security功能，您还需要将Bouncy Castle安全提供程序添加到JVM安全配置中，并将Bouncy Castle .jar添加到Axis2安装中。 此步骤（本文将要学习的UsernameToken不需要此步骤）是该系列后面的其他安全功能所必需的。 由于与一些安全算法的专利问题，在充气城堡的.jar是从兰帕特单独下载（参见相关主题 ）。 下载适合您的Java运行时的.jar版本，并将.jar添加到Axis2 lib目录中。 然后，您需要通过在Java运行时的lib / security目录中的java.security文件中添加一行来修改Java安装的安全策略，以使用Bouncy Castle代码。 使用几行不同的security.provider行查找文件部分，然后添加以下行： 

security.provider.99=org.bouncycastle.jce.provider.BouncyCastleProvider

该文件中security.provider行的顺序无关紧要，但是最好在其他行之后添加此行以用于预定义的安全提供程序实现。

要在Axis2服务器安装中使用Rampart代码，您需要创建一个新的axis2.war文件，其中包括添加的Rampart .jar和.mar文件。 如果您进行了以下更改，则可以使用webapp目录中提供的Ant build.xml创建axis2.war：删除文件结尾附近的行<exclude name="axis2-codegen*.jar"/> 。 然后打开一个控制台，进入Axis2 webapp目录并运行ant 。 运行build.xml之后，您可以在Axis2安装dist目录中找到创建的axis2.war Web应用程序。

样例应用程序

示例代码中提供的应用程序（请参阅可下载的资源 ）基于我之前用来演示Axis2的数据绑定替代方法的应用程序。 对于本文以及以下有关Axis2 WS-Security支持的文章，我将其缩减为仅三个操作： getBook ， addBook和getBooksByType 。 为简单起见，仅提供了代码的Axis Data Binding（ADB）版本，但这不是在Axis2中使用WS-Security的要求-Rampart在与数据绑定无关的级别上实现WS-Security代码使用的一种技术，因此它可与Axis2支持的所有形式的数据绑定一起使用。

示例代码的根目录是jws04code。 在该目录中，您将找到Ant build.xml和build.properties文件，为示例应用程序提供服务定义的library.wsdl文件，用于配置客户端日志记录的log4j.properties文件以及一些属性定义XML文件（全部命名为XXX -policy-client.xml或XXX -policy-server.xml）。 build.properties文件配置示例应用程序的操作。 清单2显示了此属性文件的提供的版本：

清单2.提供的build.properties文件 
# set axis-home to your Axis2 installation directory
axis-home=PATH_TO_AXIS2_INSTALLATION
# set the connection protocol to be used to access services (http or https)
protocol=http
# set the name of the service host
host-name=localhost
# set the port for accessing the services (change this for monitoring)
host-port=8080
# set the base path for accessing all services on the host
base-path=/axis2/services/
# set the name of the policy file to be used by the client
client-policy=plain-policy-client.xml
# set the name of the policy file to be used by the server
server-policy=plain-policy-server.xml

在尝试示例之前，您需要编辑build.properties文件并设置Axis2安装的实际路径（如上一节所述，添加了Rampart）。 如果为服务器使用其他主机或端口号，则还需要修改host-name和host-port值。 我将在本文后面讨论剩余的值。

尝试WS-Security

WS-Security定义了几种类型的安全性令牌（包括作为核心规范一部分的令牌，以及由概要文件定义为该规范的插件扩展的那些令牌），以及有关如何构造和使用令牌的许多选项。 本文的重点是Rampart与Axis2的配置和使用，因此我将仅以最简单有用的令牌为例： UsernameToken ，由UsernameToken配置文件定义。

UsernameToken WS-SecurityPolicy

UsernameToken的目的只是将用户名和密码信息作为WS-Security标头的一部分进行传达。 UsernameToken最基本形式以纯文本形式发送用户名和密码。 从安全角度来看，这并不是最佳选择（尽管在安全连接上使用此方法没有任何问题），但是很容易看到正在发送的内容，这使其成为有用的起点。

以文本形式发送的UsernameToken的WS-SecurityPolicy配置可以像清单3所示那样简单。 此策略（此处显示为一行，一分为二以适合页面宽度-不适用于实际使用）由围绕WS-SecurityPolicy UsernameToken断言的标准WS-Policy包装器（使用wsp前缀的元素）组成。

清单3.用于纯文本UsernameToken WS-SecurityPolicy 
<wsp:Policy wsu:Id="UsernameToken" xmlns:wsu=
    "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd"
    xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy">
  <wsp:ExactlyOne>
    <wsp:All>
      <sp:SupportingTokens
          xmlns:sp="http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702">
        <wsp:Policy>
          <sp:UsernameToken sp:IncludeToken="http://docs.oasis-open.org/
               ws-sx/ws-securitypolicy/200702/IncludeToken/AlwaysToRecipient"/>
        </wsp:Policy>
      </sp:SupportingTokens>
    </wsp:All>
  </wsp:ExactlyOne>
</wsp:Policy>

清单3中的UsernameToken使用IncludeToken属性来指定要包含令牌的消息流的类型—在这种情况下，所有消息流都从请求的发起者（即客户端）到收件人的接收者。请求（服务器）。 您可以对IncludeToken属性使用其他定义的值来指定令牌的其他用途，但是对于UsernameToken来说，通常这是唯一有意义的值。

应用政策

WS-Policy和WS-SecurityPolicy旨在支持在WSDL服务定义中嵌入。 引用用于将策略与一个或多个<wsdl:binding> ， <wsdl:binding> / <wsdl:operation>或<wsdl:message>定义相关联。 Axis2 1.4.X对WSDL中嵌入的策略实现了初步的处理，但是从Axis2 1.4.1开始，该实现尚不完善。 本文而是将策略直接附加到客户端和服务器，以便与1.4.1代码兼容。

服务器端策略处理

对于服务器端，可以通过将策略添加到每个Axis2 .aar服务归档文件中包含的services.xml配置文件中来应用策略。 可以将策略直接添加为<service>元素的子元素，以应用于该服务定义的所有操作。 您还需要在services.xml中添加一个<module>元素，以告知Axis2 Rampart模块必须包含在该服务的配置中。 清单4是示例应用程序使用的services.xml的编辑版本，添加的模块参考和策略信息以粗体显示：

清单4.具有嵌入式策略的services.xml 
<serviceGroup>
  <service name="library-username">
    <messageReceivers>
      <messageReceiver
          class="com.sosnoski.ws.library.adb.LibraryUsernameMessageReceiverInOut"
          mep="http://www.w3.org/ns/wsdl/in-out"/>
    </messageReceivers>
    <parameter
        name="ServiceClass">com.sosnoski.ws.library.adb.LibraryUsernameImpl</parameter>
    <parameter name="useOriginalwsdl">true</parameter>
    <parameter name="modifyUserWSDLPortAddress">true</parameter>
    <operation mep="http://www.w3.org/ns/wsdl/in-out" name="getBook"
        namespace="http://ws.sosnoski.com/library/wsdl">
      <actionMapping>urn:getBook</actionMapping>
      <outputActionMapping>http://.../getBookResponse</outputActionMapping>
    </operation>
    ...

    <module ref="rampart"/>
    <wsp:Policy xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy"
        xmlns:wsu="http://.../oasis-200401-wss-wssecurity-utility-1.0.xsd"
        wsu:Id="UsernameToken">
      <wsp:ExactlyOne>
        <wsp:All>
          <sp:SupportingTokens
              xmlns:sp="http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702">
            <wsp:Policy>
              <sp:UsernameToken
                  sp:IncludeToken="http://.../IncludeToken/AlwaysToRecipient">
                <wsp:Policy>
                  <sp:HashPassword/>
                </wsp:Policy>
              </sp:UsernameToken>
            </wsp:Policy>
          </sp:SupportingTokens>

          <ramp:RampartConfig xmlns:ramp="http://ws.apache.org/rampart/policy">
            <ramp:passwordCallbackClass>...PWCBHandler</ramp:passwordCallbackClass>
          </ramp:RampartConfig>

        </wsp:All>
      </wsp:ExactlyOne>
    </wsp:Policy>
  </service>
</serviceGroup>
重新生成services.xml的简单方法

当您使用Axis2 Wsdl2Java工具生成服务器端部署文件时，它将创建一个services.xml文件作为生成的工件的一部分（在资源目录中，生成目标目录下）。 每当您的WSDL服务定义更改时，都必须重新生成此文件，因此在文件中嵌入模块引用和策略信息的需求可能会很痛苦。 示例代码包括一个工具，用于自动对生成的文件进行此修改： com.sosnoski.ws.MergeServerPolicy类。 （源代码和二进制文件位于mergetool目录中。）build.xml文件的generate-server目标运行此工具，以便在每次生成服务器代码时将模块引用和适当的策略信息插入到生成的services.xml文件中。 您可以根据需要将工具用于自己的项目。 它以services.xml文件的路径作为第一个命令行参数，以策略文件的路径作为第二个命令行参数，以及要添加的任何模块的名称作为其余的命令行参数。

如果你比较在嵌入式政策清单4与基本政策清单3 ，你会看到一个加法-一个<ramp:RampartConfig>元素。 该元素为策略信息提供特定于Rampart的扩展，在这种情况下，提供了用于处理密码回调的类的名称。 回调是服务器代码如何验证客户端根据请求提供的用户名和密码组合的方式。

清单5显示了用于纯文本密码的回调类的实际实现。 在这种情况下，用户名和密码都将提供给回调，并且所有回调需要做的就是验证组合。 如果用户名和密码与期望值匹配，则仅返回； 否则，它将引发异常以指示错误。

清单5.密码回调代码 
import org.apache.ws.security.WSPasswordCallback;

public class PWCBHandler implements CallbackHandler
{
    public void handle(Callback[] callbacks)
        throws IOException, UnsupportedCallbackException {
        for (int i = 0; i < callbacks.length; i++) {
            WSPasswordCallback pwcb = (WSPasswordCallback)callbacks[i];
            String id = pwcb.getIdentifer();
            if (pwcb.getUsage() == WSPasswordCallback.USERNAME_TOKEN_UNKNOWN) {

                // used when plain-text password in message
                if (!"libuser".equals(id) || !"books".equals(pwcb.getPassword())) {
                    throw new UnsupportedCallbackException(callbacks[i], "check failed");
                }

            }
        }
    }
}

对于真实的应用程序，您自然会希望使用其他某种机制（例如数据库或外部安全机制）来验证用户名和密码的组合。 回调技术使您可以将所需的任何验证技术用作Rampart安全处理的扩展。

客户端配置

要将Rampart用于客户端代码，首先需要使该模块可用于Axis2。 您可以通过为客户端配置Axis2存储库结构来完成此操作，但是通常仅在类路径中包含rampart.mar模块文件（以及需要使用的任何其他模块）会更容易。 提供的示例使用类路径方法。

然后，您需要为客户端配置安全策略和任何相关参数。 处理此配置的最简单方法是直接在服务存根上设置值。 清单6显示了如何在示例代码中完成配置：

清单6.客户端配置 
/**
     * Load policy file from classpath.
     */
    private static Policy loadPolicy(String name) throws XMLStreamException {
        ClassLoader loader = WebServiceClient.class.getClassLoader();
        InputStream resource = loader.getResourceAsStream(name);
        StAXOMBuilder builder = new StAXOMBuilder(resource);
        return PolicyEngine.getPolicy(builder.getDocumentElement());
    }

    public static void main(String[] args) throws IOException, XMLStreamException {

        // check for required command line parameters
        if (args.length < 4) {
            System.out.println("Usage:\n  java " +
                "com.sosnoski.ws.library.adb.WebServiceClient protocol host port path");
            System.exit(1);
        }

        // create the client stub
        String target = args[0] + "://" + args[1] + ":" + args[2] + args[3];
        System.out.println("Connecting to " + target);
        LibraryUsernameStub stub = new LibraryUsernameStub(target);

        // configure and engage Rampart
        ServiceClient client = stub._getServiceClient();
        Options options = client.getOptions();
        options.setProperty(RampartMessageData.KEY_RAMPART_POLICY,
            loadPolicy("policy.xml"));
        options.setUserName("libuser");
        options.setPassword("books");
        client.engageModule("rampart");

配置部分是清单6中的最后一个代码块。这将从创建的存根中获取org.apache.axis2.client.ServiceClient实例，并在客户端选项中设置策略信息（从类路径加载）和用户名/密码。 然后，它将Rampart模块接合到客户端使用的Axis2配置中。 完成此操作后，您可以像没有WS-Security一样使用存根访问服务，并且Rampart会自动将UsernameToken添加到每个请求。

确认结果

安装Ant后，您可以从打开示例控制台的控制台中运行ant来构建客户端和服务器代码。 然后，您可以将创建的library-username.aar文件部署到Axis2服务器安装中（当然，其中包括Rampart .jars和.mars），并通过在控制台输入ant run尝试客户端。 如果一切设置正确，您应该看到如图1所示的输出：

图1.运行应用程序时的控制台输出
运行应用程序时的控制台输出

当然，仅在服务器上运行客户端不会显示正在发生的事情。 您可以使用诸如TCPMon之类的工具充当客户端和服务器之间的中介，并捕获消息交换以查看WS-Security UsernameToken的实际作用（请参阅参考资料 ）。 为此，您首先需要设置TCPMon并从一个端口上接受客户端的连接，然后将其转发到在其他端口（或其他主机）上运行的服务器。 然后，您可以编辑build.properties文件，并将host-port值更改为TCPMon的侦听端口。 如果再次在控制台上输入ant run ，则应该看到正在交换的消息。 清单7显示了一个示例客户端消息捕获：

清单7.带有UsernameToken客户端消息 
<?xml version='1.0' encoding='UTF-8'?>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Header>
    <wsse:Security xmlns:wsse="...wss-wssecurity-secext-1.0.xsd"
        soapenv:mustUnderstand="1">
      <wsse:UsernameToken xmlns:wsu="...wss-wssecurity-utility-1.0.xsd"
          wsu:Id="UsernameToken-1815911473">
        <wsse:Username>libuser</wsse:Username>
        <wsse:Password Type="...wss-username-token-profile-1.0#PasswordText"
            >books</wsse:Password>
      </wsse:UsernameToken>
    </wsse:Security>
  </soapenv:Header>
  <soapenv:Body>
    <ns2:getBooksByType xmlns:ns2="http://ws.sosnoski.com/library/wsdl">
      <ns2:type>scifi</ns2:type>
    </ns2:getBooksByType>
  </soapenv:Body>
</soapenv:Envelope>

保护UsernameToken

基本的纯文本UsernameToken不能直接提供很多安全性，因为能够监视消息的任何人都可以看到用户名和相应的密码。 如果您使用加密的通信通道，这不是真正的问题-只要通道加密可靠，任何外部方都无法监视消息。 WS-SecurityPolicy方便地定义了一种要求使用加密通道的方法，如清单8所示（再次将行拆分为适合页面宽度—有关实际策略，请参见示例代码包的secure-policy-server.xml文件） ：

清单8.需要HTTPS连接的策略 
<wsp:Policy wsu:Id="UsernameToken" xmlns:wsu=
  "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd"
  xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy">
 <wsp:ExactlyOne>
  <wsp:All>
   <sp:TransportBinding xmlns:sp="http://schemas.xmlsoap.org/ws/2005/07/securitypolicy">
     <wsp:Policy>
      <sp:TransportToken>
        <wsp:Policy>
         <sp:HttpsToken RequireClientCertificate="false"/>
        </wsp:Policy>
      </sp:TransportToken>
     </wsp:Policy>
   </sp:TransportBinding>
   <sp:SupportingTokens
     xmlns:sp="http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702">
    <wsp:Policy>
     <sp:UsernameToken sp:IncludeToken="http://docs.oasis-open.org/
          ws-sx/ws-securitypolicy/200702/IncludeToken/AlwaysToRecipient"/>
    </wsp:Policy>
   </sp:SupportingTokens>
  </wsp:All>
 </wsp:ExactlyOne>
</wsp:Policy>

清单8中以粗体显示的部分是添加的部分，由<sp:TransportBinding>元素和嵌套的<sp:HttpsToken>元素组成。 <sp:HttpsToken>元素表示，在与服务进行通信时必须使用安全的HTTPS连接。 如果尝试使用此策略构建服务.aar（通过将build.properties中的server-policy值更改为secure-policy-server.xml ，然后运行ant build-server ）并进行部署，则会看到Rampart强制执行此策略要求，拒绝任何常规HTTP连接。

如果要尝试与服务建立HTTPS连接，可以这样做，但是首先需要配置Web服务器以支持HTTPS。 （Tomcat在/tomcat-docs/ssl-howto.html上对此有很好的指导。）您还需要将build.properties中的protocol值更改为https ，并且如果您正在使用Web的自签名证书服务器，则在运行Ant test目标时需要将信任存储传递给客户端。 提供的build.xml具有注释行来执行此操作，因此您只需取消注释该行并设置系统上适当的信任库文件的位置即可。

使UsernameToken更安全的另一种方法甚至可以在未加密的链接上使用。 此方法使用摘要值，该摘要值是根据由其他两个文本值与密码组成的字符串计算得出的。 文本值之一， nonce是发件人为每个请求生成的随机值。 另一个就是创建的时间戳，它只是发送者创建UsernameToken 。 这两个值都以纯文本形式包含在UsernameToken中。 当客户端和服务器都正确使用这些值时，这些值与摘要中的密码结合使用可使服务器验证生成摘要时是否使用了正确的密码，同时使任何外部方都难以伪造密码。有效的密码。 清单9给出了一个使用摘要密码的策略示例，然后使用摘要密码对消息进行了实际捕获（二者均重新格式化为适合页面宽度—有关实际策略，请参见hash-policy-client.xml文件）。 与原始政策的差异再次以粗体显示。

清单9.使用密码摘要的策略和示例消息 
<wsp:Policy wsu:Id="UsernameToken" xmlns:wsu=
    "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd"
    xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy">
  <wsp:ExactlyOne>
    <wsp:All>
      <sp:SupportingTokens
          xmlns:sp="http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702">
        <wsp:Policy>
          <sp:UsernameToken sp:IncludeToken="http://docs.oasis-open.org/
ws-sx/ws-securitypolicy/200702/IncludeToken/AlwaysToRecipient">
            <wsp:Policy>
              <sp:HashPassword/>
            </wsp:Policy>
          </sp:UsernameToken>
        </wsp:Policy>
      </sp:SupportingTokens>
    </wsp:All>
  </wsp:ExactlyOne>
</wsp:Policy>

<?xml version='1.0' encoding='UTF-8'?>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Header>
    <wsse:Security xmlns:wsse=".../oasis-200401-wss-wssecurity-secext-1.0.xsd"
        soapenv:mustUnderstand="1">
      <wsse:UsernameToken xmlns:wsu="...wss-wssecurity-utility-1.0.xsd"
          wsu:Id="UsernameToken-1421876889">
        <wsse:Username>libuser</wsse:Username>
        <wsse:Password Type="...wss-username-token-profile-1.0#PasswordDigest"
          >/Wt/2yDdZwa8a5qd7U70hrp29/w=</wsse:Password>
        <wsse:Nonce>4ZQz5ytME/RXfChuKJ03iA==</wsse:Nonce>
        <wsu:Created>2009-03-17T11:20:57.467Z</wsu:Created>
      </wsse:UsernameToken>
    </wsse:Security>
  </soapenv:Header>
  <soapenv:Body>
    <ns2:getBooksByType xmlns:ns2="http://ws.sosnoski.com/library/wsdl">
      <ns2:type>scifi</ns2:type>
    </ns2:getBooksByType>
  </soapenv:Body>
</soapenv:Envelope>

Wrapping up

在本文中，您已经了解了如何将Axis2和Rampart用于基于策略的WS-Security处理的基本形式。 在下一个Java Web服务系列中，您将了解WS-Security的两个强大功能：XML加密和签名。 使用XML加密可以使您在通过任何类型的连接进行操作时都将消息内容保密，即使处理过程中涉及了不受信任的中介也是如此。 使用XML签名可以保证消息确实来自声明的原始发件人，并且消息内容在传输过程中没有被篡改。 加密和签名是大多数企业安全性实现的基础，因此请回来查看如何在自己的Web服务中应用这些功能。

翻译自: https://www.ibm.com/developerworks/java/library/j-jws4/index.html

cusi77914
关注
axis-src-1_4.zip_axis 1 source_axis 1.4_axis src 1_axis-src_axis
09-24
5. **模块化设计**：Axis允许添加自定义模块，扩展其功能，如WS-Security、WS-ReliableMessaging等。 6. **部署和配置**：通过服务引擎和部署文件（services.xml）可以轻松地部署和配置Web服务。 7. **调试和日志...
soap-ws获取ws中的所有的接口方法
weixin_30535565的博客
09-10 783
soap-ws获取wsdl中的所有的接口方法 示例wsdl文件如下，生成的过程可以参考https://www.cnblogs.com/chenyun-/p/11502446.html： 1 <definitions xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-u...
axis2 jax-ws_Axis2中的JAXB和JAX-WS
cusi77914的博客
07-02 438
关于本系列 Web服务是Java技术在企业计算中的重要角色。 在本系列文章中 ，XML和Web服务顾问Dennis Sosnoski涵盖了对使用Web服务的Java开发人员很重要的主要框架和技术。 跟随该系列文章以了解该领域的最新进展，并了解如何使用它们来帮助您的编程项目。 原始的Apache Axis基于Web服务的第一个Java标准JAX-RPC。 事实证明这不是一个好方法，因...
WebService -- 在AXIS下实现WS-Security
Laurence
09-26 3480
在AXIS下实现WS-Security的应用框架<br />待开发的应用开发框架基于Handler实现，将达到以下目标：此框架基于JAX-RPC环境下实现WS-Security应用，它可以部署到任何需要实现WS-Security的axis环境下的Web服务应用中，同时具体的应用程序不做任何编码修改。由于此基于Handler实现，我们有必要回顾一下Handler的一些基础知识。SOAP消息Handler能够访问代表RPC请求或者响应的SOAP消息。在JAX-RPC技术中，SOAP消息Handler可以部署在服
axis2实践（一）JAX-WS入门示例
weixin_30530339的博客
07-06 143
1. 实例说明 现在大多数的网站都有通知功能（例如，放假通知，网站维护通知等），本实例就是针对于通知，发布两个WebService服务 1）根据供应商编号，状态，发布日期查询通知信息 2）根据编号查询通知信息 特别是需要注意的是本实例用到的axis2的版本为1.6.2，JDK版本为1.6 2. JAX-WS常用注解 javax.jws.WebService @WebService 注...
axis2 jax-ws_Axis2 WS-Security签名和加密
cusi77914的博客
06-30 345
当Web服务交换业务数据时，安全性至关重要。 如果数据被第三方拦截或欺诈性数据被接受为有效数据，则可能导致负面的财务或法律后果。 始终可以为Web服务设计和实现应用程序自己的安全处理（就像任何形式的数据交换一样），但这是一种冒险的方法，因为即使是细微而模糊的监督也可能导致严重的漏洞。 与更简单的数据交换形式相比，SOAP的主要优点之一是它允许模块化扩展。 自从SOAP最初发布以来，安全性一直是...
axis2-1.8.0apache-cxf-3.4.4.rar
08-26
标题中的"axis2-1.8.0apache-cxf-3.4.4.rar"是一个压缩包文件，其中包含了两个重要的开源项目：Apache Axis2版本1.8.0和Apache CXF版本3.4.4。这两个项目都是用于构建和部署Web服务的重要工具，主要应用于Java开发...
java-ws-clients.rar_SOAP Web_Web Service SOAP_axis
09-24
4. **Apache Axis**：Apache Axis是JAX-WS的一种实现，提供了一整套工具和API来简化SOAP客户端的创建。使用Axis，开发者可以自动生成客户端 stubs，这些stubs封装了与服务的通信细节。 5. **生成客户端代码**：通过...
axis-1_4.zip
05-23
Axis1.4是一个古老的但仍然具有重要价值的Java Web服务框架，它在Web服务开发领域起着关键作用。...通过对 Axis1.4的源代码进行分析，不仅可以提升对Web服务基础的理解，还能学习到如何在实际项目中应用这些知识。
axis axis2所需jar - 完整版 靠谱！
03-02
9. **安全性**：在生产环境中，考虑使用Axis2的安全模块，如WS-Security，来保护Web服务免受未经授权的访问和攻击。这可能涉及到证书管理、加密、数字签名等方面。 10. **持续学习与更新**：Web服务技术不断发展，...
Java Web 服务: Axis2 中的 JAXB 和 JAX-WS
qq_15095407的专栏
10-08 654
早期的 Apache Axis 建立在第一个面向 Web 服务的 Java 标准 JAX-RPC 的基础之上。事实证明，这并不是一个很好的方法，因为 JAX-RPC 限制了 Axis 代码的内部设计，而且造成了性能问题并缺乏灵活性。JAX-RPC 还对 Web 服务开发的方向作出了假设，而这在后来被证明是错误的。 在开始 Axis2 开发工作时，已经着手研究 JAX-RPC 的替代选择，因此
Web Service Security with Axis2
悦峰原创博客
07-25 4376
This document base on following version of applications:Axis2 1.3, Rampart 1.3, Tomcat 5.5If you get a higher version of them, this document maybe out of date for you. 1. Rampart setupAxis2
axis2+rampart实现WS-Security
xie_zhongyong的专栏
03-26 1350
首先搭建基于axis2的ws服务端与客户端，发布成功并且客户端能够正常调用。 下面具体介绍axis2+rampart的配置。 1）、下载rampart-1.4.mar文件，下载地址：http://ws.apache.org/rampart/download/1.4/download.cgi 解压后把\modules\rampart-1.4.mar放入服务端与客户端的WebRoot\
jax-ws安全验证_（WS-）安全性的高成本
cusi77914的博客
07-01 372
WS-Security在已建立的用于加密和XML加密和签名的行业标准的基础上，为Web服务应用程序提供了一套全面的安全功能。 您可以使用WS-Policy和WS-SecurityPolicy指定要用于特定应用程序的功能，从而允许服务的客户端自动配置自己以访问服务。 跨多个平台和Web服务框架对这些标准的广泛支持，互操作性很好（并且随着时间的推移越来越好）。 尽管有这些好处，WS-Secur...
jax-ws之webservice security(安全）教程第三天
fulerbakesi
01-20 351
前言： 在今天的学习中，我们讲开始过渡到一个真正的websecurity例子。 第二天中我们知道了如何使用handler来处理客户端提交上来的用户名与密码，而在今天的学习中，我们将会使用服务端预先配置的用户名与密码来authenticate客户端提交上来的值。 相对于第二天的学习，如果客户端提交的用户名与密码输错，但还是能够与服务端建立http连接来说，第三天中的例子的安全性则更高，当客户端...
Web 服务安全性（WS-Security 1.0）
yuwenruli的专栏
08-11 2747
本文档的情况 WS-Security 和相关规范只按现状提供，作为回顾和评价。IBM 和 Microsoft 以及 VeriSign 都希望在不久的将来能得到您的投稿和建议。IBM、Microsoft 和 Versign 不以任何方式作出关于规范的保证或陈述。
利用WSE 加密SOAP报文(6)
Pointer的Blog
03-22 1375
加密对外发送的报文我已经修改了前面的GetXmlDocument方法，让它可以使用由WSE实现的基于X.509非对称加密技术。加密回应报文，FindCertificateBySubjectString方法可以用来接收客户端证书的公开备份，一个来自本地机器账号的个人储存室给的客户端证书。这个证书然后被用来创建一个新的 X.509安全Token，这个Token将被加入到响应报文的SoapConte
通向架构师的道路（第十三天）Axis2 Web Service安全初步
iteye_6378的博客
08-02 197
一、WSSecurity简述 安全的Web服务是Web服务成功的必要保证。但大家都知道，Web服务使用XML来进行数据交换，而XML在默认情况下是明文编码的；同时，大部分Web服务使用HTTP协议作为传输协议，同样，HTTP也是使用明文方式来传输数据的。这就造成了在不加密的传输协议上传输不加密的信息，从而使信息传输的保密性受到威胁。作为企业级的应用，以上的方式不能满足安全性基本要求： ² 数...
利用WSE 加密SOAP报文(8)
zgqtxwd的专栏
05-01 304
<!--google_ad_client = "pub-2947489232296736";/* 728x15, 创建于 08-4-23MSDN */google_ad_slot = "3624277373";google_ad_width = 728;google_ad_height = 15;//--><script type="text/javascript"
Apache CXF与Axis2的Web服务开发实战
书中涵盖了从基础到高级的Web服务技术，特别强调了JAX-WS、JAX-RS、JAXB、SOAP、WSDL、REST、MTOM、WS-Security、WS-Policy、XML Encryption以及XML Signature等标准的应用。 Apache CXF和Axis2是Java世界中广泛...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值