Web Service修炼之三WS-Security

XFire在1.1中已经支持ws-security了。XFire通过wss4j提供ws-security支持。

1.环境准备

  前提条件要安装Unlimited Strength Jurisdiction Policy（可以在http://java.sun.com/j2se/1.5.0/download.jsp

或http://java.sun.com/j2se/1.4.2/download.html下载）和Bouncy Castle（来自http://BouncyCastle.org）。否则会出现无效算法(algorithm)或Key大小(Key Size)
为了能支持WS-Security必须添加两个Handler：inhandlers、outhandlers。
以下必须添加到inHandlers
    1、org.codehaus.xfire.security.wss4j.WSS4JInHandler：执行WS-Security相关的函数；
    2、 org.codehaus.xfire.util.dom.DOMInHandler：为WS-Security从StAX 转换成DOM格式。
    注：DOMInHandler必须引入Xalan 2.7.1，XFire默认没有引入。

下载地址：http://xml.apache.org/xalan-j/downloads.html（包含多个jar包，可能都需要引入工程）
以下添加到outHandlers：
    1、org.codehaus.xfire.security.wss4j.WSS4JOutHandler：执行WS-Security相关的函数；
    2、org.codehaus.xfire.util.dom.DOMOutHandler：为WS-Security从StAX 转换成DOM格式。

2.安装文件

2.1.安装Java策略文件

策略文件被JDK使用，用以控制加密的强度和算法。确认已经安装对应JDK 版本的Unlimited Strength Jurisdiction策略文件，这是一个无限制的安全控制文件。你可以从http: //java.sun.com/j2se//download.jsp 

或 http://java.sun.com/j2se/1.4.2/download.html页面的底部找到下载的链接。否则在使用WS- Security时，可以会抛出java.security.InvalidKeyException: Illegal key size的错误信息。

策略文件包括local_policy.jar和US_export_policy.jar文件，将其拷贝到<JAVA_HOME>/jre/lib/security目录下。

2.2.安装SecurityProvider

    WSS4J使用了BouncyCastle的SecurityProvider，所以需要事先在java.security文件中进行配置，否则运 行加密模式的XFire认证时，会抛出以下的出错信息：org.apache.ws.security.WSSecurityException: An unsupported signature or encryption algorithm was used unsupported key
    在java.security文件中(位于<JAVA_HOME>/jre/lib/security目录中)添加BouncyCastleProvider的配置：

…

security.provider.1=sun.security.provider.Sun

security.provider.2=sun.security.rsa.SunRsaSign

security.provider.3=com.sun.net.ssl.internal.ssl.Provider

security.provider.4=com.sun.crypto.provider.SunJCE

security.provider.5=sun.security.jgss.SunProvider

security.provider.6=com.sun.security.sasl.Provider

security.provider.7=org.bouncycastle.jce.provider.BouncyCastleProvider

…

    XFire发布包中包含了BouncyCastle SecurityProvider的类包，位于<XFIRE_HOME> /lib/bcprov-jdk15-133.jar下。必须将bcprov-jdk15-133.jar加入到类路径中。

3.创建密钥对和数字证书

    签名和加密需要使用到数字证书和密钥对，可以使用JDK提供的KeyTool工具创建密钥对和数字证书。我们分别为服务端和客户端创建RSA密钥 对，并生成各自的X509数字证书（包含公钥和数字签名）。服务端和客户端拥有各自的密钥库JKS文件，服务端的密钥库保存服务端的密钥对和客户端的数字 证书，而客户端的密钥库保存客户端的密钥对和服务端的数字证书。

    下面，我们来完成创建服务端和客户端密钥库的工作：

    编写一个用于创建RSA密钥对和generateKeyPair.bat批处理文件：

rem @echo off

#接受参数

echo alias %1

echo keypass %2

echo keystoreName %3

echo KeyStorePass %4

echo keyName %5

①创建RSA密钥对

keytool -genkey -alias %1 -keypass %2 -keystore %3 -storepass %4-dname "cn=%1" -keyalg RSA

keytool -selfcert -alias %1 -keystore %3 -storepass %4 -keypass %2 

②使用私钥进行自签名

keytool -export -alias %1 -file %5 -keystore %3 -storepass %4 

③导出数字证书

   编写一个使用generateKeyPair.bat创建服务端和客户端的密钥库的generateKeyStore.bat批处理文件：

①下面两行命名分别调用generateKeyPair.bat批处理文件为服务端和客户端生成密钥对

   call generateKeyPair.bat server serverpass serverStore.jks scpass serverKey.rsa

   call generateKeyPair.bat client clientpass clientStore.jks scpass clientKey.rsa

②将服务端的数字证书导入客户端的密钥库

keytool -import -alias server -file serverKey.rsa -keystore clientStore.jks -storepass scpass -noprompt

③将客户端的数字证书导入服务端的密钥库

keytool -import -alias client -file clientKey.rsa -keystore serverStore.jks -storepass scpass -noprompt

    运行该批处理文件后，将分别为服务端和客户端生成一个Java密钥库文件，它们分别拥有一个自己的密钥对和对方的数字证书。我们通过表1对两者密钥库文件的内容进行说明：

密钥库说明

    服务端Java密钥库

    客户端Java密钥库

对应密钥库文件

  serverStore.jks

  clientStore.jks

密钥库密码

  scpass

  scpass

库中包含的内容

server密钥对、client数字证书

client密钥对、server数字证书

密钥对别名

server

client

密钥对私钥的保护密码

serverpass

clientpass