（转）wss4j和axis2实现WS-Security

最新推荐文章于 2021-02-22 10:42:21 发布
最新推荐文章于 2021-02-22 10:42:21 发布
阅读量196 收藏
点赞数
文章标签： webservice axis
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/willtea/article/details/84481065
版权
wss4j和axis2实现WS-Security
原文链接：http://hi.baidu.com/pigshome/item/4b524fd1eb6ad2876cce3f78

wss4j原理：[url]http://blog.csdn.net/whiteclude/article/details/2558579[/url]


经过了一个星期的晕头转向之后终于对wss4j和axis2实现WS-Security 有点了解，写了一个demo如下：
一、wss4j简介
Wss4j是apache开发的，标准实现WS-Security(WebService安全)的开源项目，它提供了用户名令牌环验证(UsernameToken)和传递消息时保证信息的完整性和真实性等一些WebService安全保障。
二、环境准备
2.1开发环境准备
在正式开始前还要去下载一个rampart-1.1.mar，下载地址http://apache.hoxt.com/ws/rampart/1_1/。把这个东东放到WEB-INF\modules下去
这个东东是在AXIS2上实现WSS4J必需要的一个组件。把wss4j的相关jar包导到lib下。
三、用KEYTOOL生成一对JKS文件
首先我们用keytool生成一对JKS文件， service.jks和client.jks。
service.jks存放了service的私钥和client的公钥。
client.jks存放了client的私钥和service的公钥。
本人生成的
service.jks的私钥和公钥keystore的密码是apache
client.jks的私钥和公钥keystore的密码是apache，
(注如果不会用keytool请自己看相关资料，我用的是apache提供sample的文件)
2.2搭建webservice环境
将axis2.war包拷贝到tomcat安装目录下的webapps目录下。
启动Tomcat(D:\Tomcat5.5\bin\startup.bat)，打开浏览器输入并访问:http://127.0.0.1:8080/axis2 来查看,结果如下图，表示axis2已经工作正常。

四、建立web应用
4.1 编写服务器端代码
首先简单介绍我的Wss4j实现WS-Security功能,很简单就是客户端发送一个字符串，服务器端得到该字符串，同时把字符串在发送给客户端，首先自己建立一个web应用工程, 这里就以我的wsc应用工程为例
在src下建一个包com.neusoft.wss4j.rempart.demo.services 在这里写一个类SimpleService作为服务器端
该类的内容是： 
package com.neusoft.wss4j.rempart.demo.services;
public class SimpleService
{
    public String echo(String arg)
    {
        return arg;
    }
}
这个类的作用就是接收客户端的字符串，并且把该字符串返回给客户端。
这里还有个类，该类是实现UsernameToken和传送信息的安全性和完整性的核心，该类被配置在axis2.xml和service.xml中，从而能得到用户配置的axis2.xml中的信息，和服务器端配置的service.xml的信息。每当客户端发送请求时，它都要首先通过该类获得访问服务端的权限和获得发送数据所需要的加密密码，然后把数据加密发送给服务器端，如果没有权限则不能把数据发送到服务器端，每当服务器端想要把数据传送到客户端时，也要经过次类获得发送数据所需要的加密密码，然后把数据加密返回给客户端，客户端通过解密获得明文信息。它的内容如下： 
package com.neusoft.wss4j.rempart.demo.services;
import org.apache.ws.security.WSPasswordCallback;
import javax.security.auth.callback.Callback;
import javax.security.auth.callback.CallbackHandler;
import javax.security.auth.callback.UnsupportedCallbackException;
import java.io.IOException;
public class PWCBHandler implements CallbackHandler
{
    public void handle(Callback[] callbacks) throws IOException,
            UnsupportedCallbackException
            {
                      for (int i = 0; i < callbacks.length; i++)
                      {
                          WSPasswordCallback pwcb = (WSPasswordCallback)callbacks[i];

                          String id = pwcb.getIdentifer();
                          if("client".equals(id))
                          {
                              pwcb.setPassword("apache");
                          }
                          else if("service".equals(id))
                          {
                              pwcb.setPassword("apache");
                          }
                    else
                    {
                        throw new UnsupportedCallbackException(callbacks[i],
                        "对不起，您不是授权用户，不能访问该WEB服务！");
                    }
                      }
          }
}


4.2 编写服务器端的描述文件services.xml
然后写一个解析该服务器类services.xml文件该文件的内容如下： 
<?xml version="1.0" encoding="UTF-8"?>
<service name="wsc">
    <operation name="echo">
       <messageReceiver
        class="org.apache.axis2.rpc.receivers.RPCMessageReceiver"/>
    </operation>
    <parameter name="ServiceClass" locked="false">
       com.neusoft.wss4j.rempart.demo.services.SimpleService
    </parameter>
    <module ref="rampart" />
    <parameter name="InflowSecurity">
       <action>
           <items>Timestamp Signature</items>
           <signaturePropFile>
              keys/service.properties
           </signaturePropFile>
       </action>
    </parameter>
    <parameter name="OutflowSecurity">
       <action>
           <items>Timestamp Signature</items>
           <user>service</user>
           <passwordCallbackClass>
              com.neusoft.wss4j.rempart.demo.services.PWCBHandler
           </passwordCallbackClass>
           <signaturePropFile>
              keys/service.properties
           </signaturePropFile>
           <signatureKeyIdentifier>
              DirectReference
           </signatureKeyIdentifier>
       </action>
    </parameter>
</service>

服务器wsc中有几个方法就需要配置几个<operation></operation>
echo为wsc服务器类中的方法。wsc为服务的名字也就是后边的打包服务器端wsc.aar的名字。着重看下红色和粉色字体部分，红色这部分是客户端传来信息用数字签名来解密客户端传过来的加密信息本例通过keys文件夹下的service.properties这个文件找到service.jks对信息进行解密，粉色部分是服务器端把输出向客户端的信息加密用的，本例通过keys文件夹下的service.properties这个文件找到service.jks对信息加密的。
service.properties的内容如下： 
org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin
org.apache.ws.security.crypto.merlin.keystore.type=jks
org.apache.ws.security.crypto.merlin.keystore.password=apache
org.apache.ws.security.crypto.merlin.file=keys/service.jks

写明了加密文件的类型，文件密码，文件名称。

4.3 生成.aar服务包
下边就可以根据一个服务器类SimpleService一个service.xml打包生成一个wsc.aar做为服务器端的程序。首先将这个SimpleService类打包,然后把service.xml放在打包后的MATE-INFO下边
这样服务器端程序wsc.aar就完成了。下边把wsc.aar copy到D:\program\Tomcat6.0\webapps\axis2\WEB-INF\services目录下(这里是以我的机器做为例子的)
然后重启tomcat输入http://127.0.0.1:8080/axis2/services/listServices
就可以看到我们部署到服务器上的服务了。
4.4 编写模拟第三方测试程序
下面我写一个模拟第三方的程序调用webservice的一个例子
在包com.neusoft.wss4j.rempart.demo.client中的Client
它的内容如下: 
package com.neusoft.wss4j.rempart.demo.client;
import java.io.Reader;
import java.io.StringReader;
import org.apache.axiom.om.OMAbstractFactory;
import org.apache.axiom.om.OMElement;
import org.apache.axiom.om.OMFactory;
import org.apache.axiom.om.OMNamespace;
import org.apache.axis2.addressing.EndpointReference;
import org.apache.axis2.client.Options;
import org.apache.axis2.client.ServiceClient;
import org.apache.axis2.context.ConfigurationContext;
import org.apache.axis2.context.ConfigurationContextFactory;
import org.jdom.Document;
import org.jdom.Element;
import org.jdom.input.SAXBuilder;
public class Client
{
    public static void main(String[] args) throws Exception
    {
        ConfigurationContext ctx = ConfigurationContextFactory
                .createConfigurationContextFromFileSystem(
                        "D:/eclipse3.2/workspace/wsc/WebRoot/WEB-INF",           "D:/eclipse3.2/workspace/wsc/WebRoot/WEB-INF/conf/axis2.xml");
        ServiceClient client = new ServiceClient(ctx, null);
        Options options = new Options();
        options.setAction("urn:echo");
        options.setTo(new EndpointReference(
                "http://localhost:8080/wsc/services/wsc"));
        client.setOptions(options);
        OMElement response = client.sendReceive(getPayload("(*^__^*) 嘻嘻……"));
        OMElement element = response.getFirstElement();
        //把返回的OMElement对象转换为 xml数据
        SAXBuilder builder = new SAXBuilder();
        Reader in = new StringReader(element.toString());
        Document doc = null;
        try
        {
            doc = builder.build(in);
            Element Element = doc.getRootElement();
            String aa = Element.getTextTrim();
            System.out.println(aa);
        }
        catch (Exception e)
        {
            System.out.println(e.getMessage());
        }
    }
    private static OMElement getPayload(String value)
    {
        OMFactory factory = OMAbstractFactory.getOMFactory();
        OMNamespace ns = factory.createOMNamespace(
        "http://services.demo.rempart.wss4j.neusoft.com/xsd","ns1");
        OMElement elem = factory.createOMElement("echo", ns);
        OMElement childElem = factory.createOMElement("param0", null);
        childElem.setText(value);
        elem.addChild(childElem);
        return elem;
    }
}

这个测试类就不多说了，粉色的部分是需要注意的地方。

还有个客户端的axis2.xml需要说明一下
他的主要内容如下只要把这部分粘贴到原来的axis2.xml即可： 
<module ref="rampart" />

<parameter name="OutflowSecurity">
       <action>
         <items>Timestamp Signature</items>
         <user>client</user>
         <signaturePropFile>keys/client.properties</signaturePropFile>
         <passwordCallbackClass>com.neusoft.wss4j.rempart.demo.services.PWCBHandler</passwordCallbackClass>
         <signatureKeyIdentifier>DirectReference</signatureKeyIdentifier>
       </action>
     </parameter>
     <parameter name="InflowSecurity">
       <action>
         <items>Timestamp Signature</items>
         <signaturePropFile>keys/client.properties</signaturePropFile>
       </action>
     </parameter>

注意一下红色的部分他是当客户端向服务器端发送数据时，首先访问com.neusoft.wss4j.rempart.demo.services.PWCBHandler这个类，得到访问权限和加密信息的文件密码，然后通过加密信息的文件密码和keys/client.properties文件找到加密需要的文件client.jks把信息加密发送给服务器端，粉色部分是通过keys/client.properties文件找到解密需要的文件client.jks来解密服务器端返回的加密信息。
Keys文件下的client.properties内容如下： 
org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin
org.apache.ws.security.crypto.merlin.keystore.type=jks
org.apache.ws.security.crypto.merlin.keystore.password=apache
org.apache.ws.security.crypto.merlin.file=keys/client.jks


其他资料：

用axis2,wss4j搭建服务、客户端方法：[url]From:http://wxu.javaeye.com/blog/273134[/url]
java axis2的客户端调用的三种方法：[url]http://wxu.javaeye.com/blog/499155[/url]
java axis2的开发、部署方法：[url]http://wxu.javaeye.com/blog/268981[/url]
关于rampart encrypt的问题：[url]http://wxu.javaeye.com/blog/284884[/url]
fxly0401
关注
wss4j和axis2实现WS-Security
sail_zhang的专栏
11-23 831
一、wss4j简介 Wss4j是apache开发的，标准实现WS-Security(WebService安全)的开源项目，它提供了用户名令牌环验证(UsernameToken)和传递消息时保证信息的完整性和真实性等一些WebService安全保障。二、环境准备2.1开发环境准备在正式开始前还要去下载一个rampart-1.1.mar，下载地址http://apache.hoxt.com/w
Axis2+Rampart（WSS4J）实现UsernameToken认证方式的WS-Security（基于SOAP的Web安全调用机制）
热门推荐
ALCAT的专栏
02-25 1万+
最近在研究基于SOAP的Web安全调用机制，发现相关文章多但是都很不全，这里把Axis2+Rampart（WSS4J）实现UsernameToken认证方式的WS-Security的过程做个记录，供大家参考。
axis2 客户端调用wss4j 安全web服务的方法
黑土的Blog
10-30 3683
一直找不到对应的例子，对wss4j的定义又不太了解，只能自己不断调试，以下代码为调试通过的代码，记录以备遗忘。public class DocCategoryWebServiceClientTest {    /**     * @param args     * @throws RemoteException     */    public static void main(String[]
Cxf 和wss4j实现ws-security的demo
08-22
CXF使用WSS4J实现WS-Security规范，本例的配置是Timestamp Signature Encrypt，具体使用可以参考我的博客http://blog.csdn.net/wangchsh2008/article/details/6708270
ws-security 和wss4j的jar包
11-07
2. **wss4j-ws-security-dom.jar**：DOM（Document Object Model）版本的WS-Security实现，用于处理基于DOM的XML消息。 3. **wss4j-ws-security-stax.jar**：STAX（Streaming API for XML）版本的实现，适用于处理...
ws-security 和 wss4j的jar包
11-06
`ws-security`和`wss4j`就是两个关键的库，它们专注于为基于SOAP的Web服务提供安全支持。这两个组件主要涉及到WS-Security（Web Services Security）规范，该规范定义了一套标准来确保Web服务消息的机密性、完整性和...
纯java调用ws-security+CXF实现的webservice安全接口
08-31
2. **创建安全上下文**：为了实现身份验证，你需要创建一个`WSS4JOutInterceptor`，并提供安全相关的配置，比如使用`UsernameToken`进行基本认证。这可以通过`WSSecurityProperties`类来完成。 3. **添加拦截器**：...
CXF使用X509证书的WS-Security进行验证
永远在千里之外
10-27 451
[size=large][b]一、相关概念[/b][/size] 提到x509，就不得不提到几个相关概念。 1、Private key 2、Public key 3、KeyStore 4、TrustStore Private key和Public key很简单，字面意思就可以理解，就是常说的私钥和公钥。 KeyStore和TrustStore简单的说就是存储私钥和密钥的容...
axis2 wss4j 例子
yang2003的专栏
04-25 5824
同样的,如果你没听说过WSS或不知道什么是WSS请先看一下WSS方面的资料,我在这主要是讲一下如果应用WSS.在我的WEBSERVICE的例子的基础上我们来实现WSS首先我们用KEYTOOL生成一对JKS文件,service.jks和client.jks.service.jks存放了SERVICE的私钥和CLIENT的公钥.client.jks存放了CLIENT的私钥和SERVICE的公钥.本人生
cxf ws_security
cocojiji5的专栏
12-20 3108
CXF的webService已经创建好，但没有安全可言，毕竟这是Internet服务呀。 CXF给了一个很完整的安全架构，但CXF给出的ws_security DEMO太复杂了，又是password jks X509 Timestamp。 我试了很多次都没有成功。化繁为简，只实现一个user password好了。其实CXF和Spring——ACEGI的认证机制很像的都是使用了inte
通向架构师的道路（第十四天）Axis2 Web Service安全之rampart
iteye_6378的博客
08-08 332
一、加密保护我们的web service传输 在上一天的教程中，我们讲了一个简单的基于” security-constraint”的以指定用户名和密码来保护一个Web Service以及如何用https对这个web service的通讯过程进行保护。虽然它用https来进行保护了，但是我们抛开https，这个web service之间传输的用户名，密码，数据都是明文的。 在我之间教程中曾经提...
wss4j和axis2实现WS-Security（2）
conkeyn的专栏
12-29 181
转自：http://hi.baidu.com/zhaopengletter/blog/item/44a3bdfa9eda29244e4aea48.html   4.3   生成 .aar 服务包 下边就可以根据一个服务器类 SimpleService 一个 service.xml 打包生成一个 wsc.aar 做为服务器端的程序...
ws security java_.Net调用Java端带有WS-Security支持的Web Service【亲测通过】
weixin_32187037的博客
02-22 196
做了几年的开发，今天终于鼓起勇气开通了博客园。平时都是找各种大牛，看他们的分享博客的解决BUG。从今天起，我也开始分享我学习之路。还望大家多多支持！最近收到一个采用Axis2实现的WebService通过.net对接的需求，开始已为挺简单的一个事，常规引用调用后，测试不通过，需要验证密码。之后。。。开始疯狂的寻码之旅。本方案让我试的好苦，WSE 2.0、WSE 3.0 都是vs老版本的(本人用VS...
让xfire ws-security跑起来
czmchen的专栏
01-15 3110
由于开发的需要，要用到xfire，对于开发我比较关心的是安全和速度！所以就找了xfire中的ws-security，利用它的安全证书和key，安全足够了先到网上下载最新版的xfire,一般都去官方网站下载，了解下详情！其官网为http://xfire.codehaus.org现在最新版为1.2.6,把xfire-all-1.2.6.jar 和 xfire-distributi
axis2+rampart实现WS-Security (三)
菜鸟吴
11-05 334
UsernameToken authentication axis2.xml [code="java"] UsernameToken Timestamp bob org.apache.rampart.samples.sample02.PWCBHandler [/code] ...
Java笔记-基于Spring Boot的SOAP双向SSL认证及WS-Security
IT1995的博客
08-19 1933
这里服务端开放了简单的SOAP的API，但是想获取数据时需要双向SSL以及WS-Security签名。 其中对应的xsd文件如下： <xs:schema xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:tns="http://spring.io/guides/gs-producing-web-service" targetNamespace="http://spring.io/guides/gs-producing-web
深入解析WS-Security：安全协议在Web服务中的应用与产品
接下来，作者列举了一些支持WS-Security的产品，包括BEA WebLogic Workshop、Microsoft WSE、IBM WebSphere等企业级应用服务器，以及开源项目如Apache WSS4J等。这些产品展示了WS-Security在实际开发中的广泛应用。 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值