java - 在网络服务调用中使用用户名和密码

Question

我正在编写 Java Web 服务，需要在提供响应之前接受来自调用者的用户名和密码以进行内部身份验证。这样做的标准方法(或最佳做法)是什么？它是在 SOAP header 中还是应该作为消息参数之一提供？我在哪里可以找到代码示例？谢谢。

Answer 1

提供用户名和密码的标准方法是使用 WS-Security ，它在 SOAP header 中提供安全信息:

<SOAP-ENV:Header>
  <wsse:Security SOAP-ENV:mustUnderstand="1"
    xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
    <wsse:UsernameToken 
      wsu:Id="UsernameToken-29477163"
      xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">
      <wsse:Username>username</wsse:Username>
      <wsse:Password>verySecret</wsse:Password>
    </wsse:UsernameToken>
  </wsse:Security>
</SOAP-ENV:Header>

WSS4J为 Java 实现 WS-Security header 。