CXF全接触 --- WS-Security的实现 (转)

最新推荐文章于 2016-04-18 08:09:00 发布
最新推荐文章于 2016-04-18 08:09:00 发布
阅读量590 收藏
点赞数

转自 http://blog.csdn.net/kunshan_shenbin/article/details/3813000

 

我们使用Apache WSS4J这个WS-Security的开源实现，相关内容请参阅：

 

http://ws.apache.org/wss4j/

WSS4J支持如下几种模式：

XML Security

    XML Signature

    XML Encryption

Tokens

    Username Tokens

    Timestamps

    SAML Tokens

这里将使用Timestamps+Encryption+Signature组合。

 

首先需要生成服务端及客户端密钥文件：

generateKeyPair.bat

 

rem @echo off
echo alias %1
echo keypass %2
echo keystoreName %3
echo KeyStorePass %4
echo keyName %5

echo keyName %5
keytool -genkey -alias %1 -keypass %2 -keystore %3 -storepass %4  -dname "cn=%1" -keyalg RSA
keytool -selfcert -alias %1 -keystore %3 -storepass %4 -keypass %2
keytool -export -alias %1 -file %5 -keystore %3 -storepass %4


generateServerKey.bat

call generateKeyPair.bat apmserver apmserverpass serverStore.jks keystorePass serverKey.rsa
call generateKeyPair.bat apmclient apmclientpass clientStore.jks keystorePass clientKey.rsa
keytool -import -alias apmserver -file serverKey.rsa -keystore clientStore.jks -storepass keystorePass -noprompt
keytool -import -alias apmclient -file clientKey.rsa -keystore serverStore.jks -storepass keystorePass -noprompt


执行generateServerKey.bat批处理，生成clientStore.jks及serverStore.jks文件。

生成的密钥文件中包含的信息：

服务端 账户：apmserver / apmserverpass

客户端 账户：apmclient / apmclientpass

 

如下图所示建立工程：

工程视图

 所使用到的Jar包一览

jar包一览

 PasswordHandler.java

package com.cecltd.security;

import java.io.IOException;
import java.util.HashMap;
import java.util.Map;

import javax.security.auth.callback.Callback;
import javax.security.auth.callback.CallbackHandler;
import javax.security.auth.callback.UnsupportedCallbackException;

import org.apache.ws.security.WSPasswordCallback;

public class PasswordHandler implements CallbackHandler {

	private Map<String, String> passwords = new HashMap<String, String>();

	public PasswordHandler() {
		passwords.put("apmserver", "apmserverpass");
        passwords.put("apmclient", "apmclientpass");
	}

	public void handle(Callback[] callbacks) throws IOException,
			UnsupportedCallbackException {
		WSPasswordCallback pc = (WSPasswordCallback) callbacks[0];
		String id = pc.getIdentifer();
		pc.setPassword((String) passwords.get(id));
	}
}


 

SayHiSrvcImpl.java

package com.cecltd.service.impl;

import com.cecltd.service.SayHiSrvc;

public class SayHiSrvcImpl implements SayHiSrvc {

	public String sayHi(String username) {
		
		return "Hi, " + username + "!";
	}
}


 

SayHiSrvc.java

package com.cecltd.service;

import javax.jws.WebService;

@WebService
public interface SayHiSrvc {

	public String sayHi(String username);
}


 

server_insecurity_enc.properties

org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin
org.apache.ws.security.crypto.merlin.keystore.type=jks
org.apache.ws.security.crypto.merlin.keystore.password=keystorePass
org.apache.ws.security.crypto.merlin.alias.password=apmserverpass
org.apache.ws.security.crypto.merlin.keystore.alias=apmserver
org.apache.ws.security.crypto.merlin.file=serverStore.jks


 

server_insecurity_sign.properties

org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin
org.apache.ws.security.crypto.merlin.keystore.type=jks
org.apache.ws.security.crypto.merlin.keystore.password=keystorePass
#org.apache.ws.security.crypto.merlin.alias.password=apmserverpass
org.apache.ws.security.crypto.merlin.keystore.alias=apmserver
org.apache.ws.security.crypto.merlin.file=serverStore.jks


 

server_outsecurity_enc.properties

org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin
org.apache.ws.security.crypto.merlin.keystore.type=jks
org.apache.ws.security.crypto.merlin.keystore.password=keystorePass
#org.apache.ws.security.crypto.merlin.alias.password=apmserverpass
#org.apache.ws.security.crypto.merlin.keystore.alias=apmserver
org.apache.ws.security.crypto.merlin.file=serverStore.jks


 

SayHiServiceTest.java

package com.service.test;

import static org.junit.Assert.*;
import org.junit.BeforeClass;
import org.junit.Test;
import org.springframework.context.ApplicationContext;
import org.springframework.context.support.ClassPathXmlApplicationContext;

import com.cecltd.service.SayHiSrvc;

public class SayHiServiceTest {

	private static SayHiSrvc sayHiSrvc;
	
	@BeforeClass
	public static void setUp() {
		
		ApplicationContext context = new ClassPathXmlApplicationContext(new String[] { "applicationContext.xml" });
		sayHiSrvc = (SayHiSrvc)context.getBean("SayHiSrvc");
	}
	
	@Test
	public void testSayHi() {
	
		assertEquals("Hi, ShenBin!", sayHiSrvc.sayHi("ShenBin"));
	}
}


 

applicationContext.xml

<beans xmlns="http://www.springframework.org/schema/beans"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xmlns:jaxws="http://cxf.apache.org/jaxws"
	xsi:schemaLocation="
    http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
	http://cxf.apache.org/jaxws http://cxf.apache.org/schemas/jaxws.xsd">

	<bean id="SayHiSrvc" class="com.cecltd.service.SayHiSrvc" factory-bean="SayHiSrvcFactory" factory-method="create"/>

	<bean id="SayHiSrvcFactory" class="org.apache.cxf.jaxws.JaxWsProxyFactoryBean">
		<property name="serviceClass" value="com.cecltd.service.SayHiSrvc" />
		<property name="address" value="${host.url}/SayHiSrvc" />
		<property name="outInterceptors">
			<list>
				<bean class="org.apache.cxf.binding.soap.saaj.SAAJOutInterceptor" />
				<ref bean="wss4jOutConfiguration" />
			</list>
		</property>
		<property name="inInterceptors">
			<list>
				<bean class="org.apache.cxf.binding.soap.saaj.SAAJInInterceptor" />
				<ref bean="wss4jInConfiguration" />
			</list>
		</property>
	</bean>
	
	<bean id="propertyConfigurer" class="org.springframework.beans.factory.config.PropertyPlaceholderConfigurer">
		<property name="locations">
			<list>
				<value>serverhost.properties</value>
			</list>
		</property>
	</bean>
	
	<bean id="wss4jOutConfiguration" class="org.apache.cxf.ws.security.wss4j.WSS4JOutInterceptor">
		<property name="properties">
			<map>
				<entry key="action" value="Timestamp Encrypt Signature" />
				<entry key="user" value="apmclient" />
				<entry key="encryptionUser" value="apmserver" />
				<entry key="signaturePropFile" value="outsecurity_sign.properties" />
				<entry key="signatureKeyIdentifier" value="IssuerSerial" />
				<entry key="encryptionPropFile" value="outsecurity_enc.properties" />
				<entry>
					<key>
						<value>passwordCallbackRef</value>
					</key>
					<ref bean="passwordCallback" />
				</entry>
			</map>
		</property>
	</bean>
	
	<bean id="wss4jInConfiguration" class="org.apache.cxf.ws.security.wss4j.WSS4JInInterceptor">
		<property name="properties">
			<map>
				<entry key="action" value="Timestamp Encrypt Signature" />
				<entry key="user" value="apmclient" />
				<entry key="decryptionPropFile" value="insecurity_enc.properties" />
				<entry key="enableSignatureConfirmation" value="true" />
				<entry key="signaturePropFile" value="outsecurity_sign.properties" />
				<entry key="signatureKeyIdentifier" value="IssuerSerial" />
				<entry>
					<key>
						<value>passwordCallbackRef</value>
					</key>
					<ref bean="passwordCallback" />
				</entry>
			</map>
		</property>
	</bean>
	
	<bean id="passwordCallback" class="com.cecltd.security.PasswordHandler"/>

</beans>


 

insecurity_enc.properties

org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin
org.apache.ws.security.crypto.merlin.keystore.type=jks
org.apache.ws.security.crypto.merlin.keystore.password=keystorePass
org.apache.ws.security.crypto.merlin.alias.password=apmclientpass
org.apache.ws.security.crypto.merlin.keystore.alias=apmclient
org.apache.ws.security.crypto.merlin.file=clientStore.jks


 

outsecurity_enc.properties

org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin
org.apache.ws.security.crypto.merlin.keystore.type=jks
org.apache.ws.security.crypto.merlin.keystore.password=keystorePass
org.apache.ws.security.crypto.merlin.alias.password=apmclientpass
org.apache.ws.security.crypto.merlin.keystore.alias=apmclient
org.apache.ws.security.crypto.merlin.file=clientStore.jks


 

outsecurity_sign.properties

org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin
org.apache.ws.security.crypto.merlin.keystore.type=jks
org.apache.ws.security.crypto.merlin.keystore.password=keystorePass
org.apache.ws.security.crypto.merlin.alias.password=apmclientpass
org.apache.ws.security.crypto.merlin.keystore.alias=apmclient
org.apache.ws.security.crypto.merlin.file=clientStore.jks


 

serverhost.properties

host.url=http://127.0.0.1:8080/J6CxfSrvc/services


 

cxf-config.xml

<beans xmlns="http://www.springframework.org/schema/beans" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
    xmlns:jaxws="http://cxf.apache.org/jaxws" 
    xsi:schemaLocation=" 
    http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd 
    http://cxf.apache.org/jaxws http://cxf.apache.org/schemas/jaxws.xsd"> 

    <import resource="classpath:META-INF/cxf/cxf.xml" /> 
    <import resource="classpath:META-INF/cxf/cxf-extension-soap.xml" /> 
    <import resource="classpath:META-INF/cxf/cxf-servlet.xml" /> 

    <jaxws:endpoint id="SayHiSrvc" implementor="com.cecltd.service.impl.SayHiSrvcImpl" address="/SayHiSrvc"> 
        <jaxws:inInterceptors>
			<bean class="org.apache.cxf.interceptor.LoggingInInterceptor"/> 
			<bean class="org.apache.cxf.binding.soap.saaj.SAAJInInterceptor"/>
			<ref bean="wss4jInConfiguration"/>
		</jaxws:inInterceptors>
		<jaxws:outInterceptors>
			<bean class="org.apache.cxf.interceptor.LoggingOutInterceptor"/>
			<bean class="org.apache.cxf.binding.soap.saaj.SAAJOutInterceptor"/>
			<ref bean="wss4jOutConfiguration"/>
		</jaxws:outInterceptors>
    </jaxws:endpoint> 

    	<bean id="wss4jInConfiguration" class="org.apache.cxf.ws.security.wss4j.WSS4JInInterceptor">
		<property name="properties">
			<map>
				<entry key="action" value="Timestamp Encrypt Signature"/>
				<entry key="decryptionPropFile" value="server_insecurity_enc.properties"/>
				<entry key="signaturePropFile" value="server_insecurity_sign.properties"/>
				<entry>
					<key>
						<value>passwordCallbackRef</value>
					</key>
					<ref bean="passwordCallback"/>
				</entry>
			</map>
		</property>
	</bean>
	
	<bean id="wss4jOutConfiguration" class="org.apache.cxf.ws.security.wss4j.WSS4JOutInterceptor">
		<property name="properties">
			<map>
				<entry key="action" value="Timestamp Encrypt Signature"/>
				<entry key="user" value="apmserver" />
				<entry key="encryptionUser" value="apmclient" />
				<entry key="encryptionPropFile" value="server_outsecurity_enc.properties"/>
				<entry key="signaturePropFile" value="server_insecurity_sign.properties"/>
				<entry>
					<key>
						<value>passwordCallbackRef</value>
					</key>
					<ref bean="passwordCallback"/>
				</entry>
			</map>
		</property>
	</bean>
     
    <bean id="passwordCallback" class="com.cecltd.security.PasswordHandler"/> 
     
</beans>


 

web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://java.sun.com/xml/ns/javaee 
	http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">

	 <context-param> 
        <param-name>contextConfigLocation</param-name> 
        <param-value>WEB-INF/cxf-config.xml</param-value> 
    </context-param> 

    <listener> 
        <listener-class> 
            org.springframework.web.context.ContextLoaderListener 
        </listener-class> 
    </listener> 

	<servlet>
		<servlet-name>CXFServlet</servlet-name>
		<servlet-class>
			org.apache.cxf.transport.servlet.CXFServlet
		</servlet-class>
		<load-on-startup>1</load-on-startup>
	</servlet>

	<servlet-mapping>
		<servlet-name>CXFServlet</servlet-name>
		<url-pattern>/services/*</url-pattern>
	</servlet-mapping>

</web-app>


 

Johnny__Tang
关注
jax-ws cxf_带有CXF的WS-Security
cusi77914的博客
07-01 364
像本系列前面的文章中讨论的Axis2和Metro Web服务堆栈一样，Apache CXF（您在“ CXF简介 ”中遇到了）支持使用WS-Security SOAP扩展技术来为消息提供全方位的与安全性相关的功能。交流。 与这些其他堆栈类似，CXF使用WS-SecurityPolicy配置WS-Security处理（尽管也可以进行手动配置）。 CXF的实现的WS-Security的是基于开放...
纯java调用ws-security+CXF实现的webservice安全接口
08-31
纯java调用ws-security+CXF实现的webservice安全接口
通过 CXF 使用 WS-Security
lylhelin的专栏
09-27 288
与 本系列 前面的文章讨论的 Axis2 和 Metro Web 服务堆栈一样，Apache CXF 支持使用 WS-Security SOAP 扩展技术提供一整套用于消息交换的与安全相关的功能（关于 CXF 的基础知识见 “CXF 简介 ”）。与这些堆栈一样，CXF 也使用 WS-SecurityPolicy 配置 WS-Security 安全处理（也可以手工配置）。 CXF 的 WS-...
cxf ws_security
cocojiji5的专栏
12-20 3104
CXF的webService已经创建好，但没有安全可言，毕竟这是Internet服务呀。 CXF给了一个很完整的安全架构，但CXF给出的ws_security DEMO太复杂了，又是password jks X509 Timestamp。 我试了很多次都没有成功。化繁为简，只实现一个user password好了。其实CXF和Spring——ACEGI的认证机制很像的都是使用了inte
CXF学习二(WS-Security)
aarontang_168的博客
08-24 2748
在上一篇CXF学习一中介绍了如何创建Server及Client，创建好Webservice之后部署到服务器就可以供其它的应用去访问，但在网络上不安全，任何的应用都可以去访问。为了保证Webservice的安全性，需要对Webservice提供认证，认证通过之后才可以访问服务，创建
cxf-rt-rs-client-3.0.1-API文档-中文版.zip
04-27
赠送jar包：cxf-rt-rs-client-3.0.1.jar； 赠送原API文档：cxf-rt-rs-client-3.0.1-javadoc.jar； 赠送源代码：cxf-rt-rs-client-3.0.1-sources.jar； 赠送Maven依赖信息文件：cxf-rt-rs-client-3.0.1.pom； 包含...
CXFWS-Security
10-21
1）参考： ...2）CXFWS工程是基于WS-Security规范，实现X.509身份验证的，同时实现签名和加密 keytool 工具的使用参考 http://hi.baidu.com/qianshuifanchuan/blog/item/6291b8510009ad3c42a75b8e.html ...
cxf-rt-ws-addr-3.0.1-API文档-中文版.zip
04-27
赠送jar包：cxf-rt-ws-addr-3.0.1.jar； 赠送原API文档：cxf-rt-ws-addr-3.0.1-javadoc.jar； 赠送源代码：cxf-rt-ws-addr-3.0.1-sources.jar； 赠送Maven依赖信息文件：cxf-rt-ws-addr-3.0.1.pom； 包含翻译后的API...
cxf-rt-frontend-jaxrs-3.0.1-API文档-中文版.zip
04-27
赠送jar包：cxf-rt-frontend-jaxrs-3.0.1.jar； 赠送原API文档：cxf-rt-frontend-jaxrs-3.0.1-javadoc.jar； 赠送源代码：cxf-rt-frontend-jaxrs-3.0.1-sources.jar； 赠送Maven依赖信息文件：cxf-rt-frontend-jaxrs...
CXF之九 WS-Security
weixin_34342578的博客
01-06 238
Webservice 的安全 Webservice为作为方便的服务被用广大领域使用的同时，也成为了黑客们的美食。在这里，本文将就目前对Webservice安全所能做的改进做简单介绍。在Webservice中的安全主要分为以下三个方面。传输 SSL/HTTPS 对连接加密，而不是传输数据消息 数据加密(XML Encryption) 数字签名(XML-DSIG)底层架构 ...
springboot_cxf_security
11-13
springboot+CXF+security 简单实现，同时使用webservice 与MVC
cxfSecurity.rar cxf加密 加拦截器
11-05
基于cxf webservice的加密，项目代码只是一个demo，有问题的可以加我
CXF实战之WS-Security(八)
达拉斯母牛
08-03 6507
Web-Security概述WS-Security(Web服务安全)是一种提供在Web Service上应用安全的方法的网络传输协议，协议包含了关于如何在Web Service消息上保证完整性和机密性的规约。WS-Security描述了如何将签名和加密头加入SOAP消息。除此以外，还描述了如何在消息中加入安全令牌，包括二进制安全令牌，如X.509认证证书和Kerberos门票(ticket)。WS-
cxf + spring 的WS-Security示例
jienqiuqiu的专栏
06-10 697
在按照网上的例子进行配置用户名令牌的例子，在server端的回调函数中获取的password 却一直是空，搜索了好半天，才找到（这个是MD5加密的）： WSPasswordCallback 的passwordType属性和password 属性都为null，你只能获得用户名（identifier），一般这里的逻辑是使用这个用户名到数据库中查询其密码，然后再设置到password 属性，WSS
WebService CXF学习（高级篇3）：WS-Security
bj_xiufeng的专栏
09-28 776
这一节我们来探讨一下WebService安全问题，如果所有系统都运行在一个封闭的局域网内，那么可以不考虑网络攻击，拒绝服务，消息篡改，窃取等问题。但通常情况都接入互联网，那么我就得考虑信息安全问题，像前面那样直接将消息裸传，肯定不行。那么，我们就得给消息加密。CXF可以结合WSS
Cxf+wss4j的WS-Security实现
热门推荐
08-22 1万+
最近一个项目预研，需要使用webservice，进行消息安全传输，客户要求包括加密和认证。我们使用的ws框架是cxf，认证是很容易做的，通过自定义实现一个Interceptor，就可以进行简单的用户和密码认证。但加密从来没有做过，在网上做了一些工作之后，发现cxf是可以通过wss4j实现签名、加密的。 根据网上的资料，做了一个demo，上传位置在：https://download.csdn.net...
cxf安全认证
好好学习
11-14 433
我们在使用Web Service的过程中，很多情况是需要对web service请求做认证的，特别涉及到外部系统的调用，那么cxf   的认证就显得的特别的重要。cxf的认证大致可以分为：soapHeader认证，WS-Security 校验等等。   A cxf中的soapheader认证。   基本的原理：客户端在soapHeader中添加header信息，在服务器端通过读取hea...
CXF 入门：创建一个基于WS-Security标准的安全验证(CXF回调函数使用,)
weixin_30635053的博客
04-18 146
http://jyao.iteye.com/blog/1346547 注意：以下客户端调用代码中获取服务端ws实例，都是通过CXF 入门: 远程接口调用方式实现 直入正题！ 以下是服务端配置 ======================================================== 一，web.xml配置,具体不在详述 Xml代码 ...
CXF ws-security密码验证
阿哥的专栏
12-31 259
这两天学习webservice 看了很长时间资料决定用cxf ， 但把cxf自带的demo转化成自己的代码还是遇到了不小的麻烦。今天终于调通了个简单的示例。 运行环境是tomcat服务器，cxf 2.2.3 这里面为了简单，自采用单向的验证，只验证客户，双向验证类似，在客户端做配置jaxws:inInterceptors就可以了。 在服务端和客户端得回调类里设置密码就可...
JAVA WebService与CXF详解：JAX-WS、JAX-RPC与JAX-RS
此外，CXF还提供了丰富的功能，如WS-Security（安全性）、MTOM（Message Transmission Optimization Mechanism，消息传输优化机制）和XOP（XML-binary Optimized Packaging，XML二进制优化打包）等，以增强Web服务的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值