php - 在 JAX-WS 中使用安全性的最佳实践是什么

Question

这是场景:我有一些需要保护的 Web 服务 (JAX-WS)。目前，出于身份验证的需要，我提供了额外的 SecurityWService，它为授权用户提供了一些需要在对其他服务的请求中描述的用户 ID 和 session ID。

使用一些java安全性会更好。我们有很多，但无法定义哪种更好用。

Q1 : 我知道我应该在传输层使用 SSL，但是我应该使用什么来进行用户授权。是否有更好的方法来建立 session 、验证用户等？

这里是一些关键的描述:

1. 大多数网络服务客户端都是基于 php 的。
2. 我正在使用 jax-ws 实现作为无状态 session EJB。
3. 部署到 glassfish v3。

问题 2:在使用 JSF 2.0 和 ejb3.1 技术(领域？WSIT？)的情况下，用户授权/身份验证的最佳框架/技术是什么？

谢谢!

Answer 1

有一件事是肯定的，你必须使用HTTPS。 SSL 是保持这些组件之间安全连接的粘合剂。

如果存在分布在不同域/服务器之间的服务，并且您需要 Web 浏览器/客户端来维护所有这些系统的状态，那么 oAuth是一个很好的解决方案。该站点上有 Java 和 PHP oAuth 植入。 oAuth 很灵活，可以满足很多需求。

一种更简单的方法是使用HTTP 基本身份验证 以及由 SQL 数据库支持的访问控制列表。 session 状态可以存储在数据库或 session Bean 中，并由您的自定义 Web 服务访问。这比 oAuth 更常见。