java - 在应用程序级别实现 WS-Security

Question

我正在尝试构建基于 JAX-WS(使用 JBoss AS 7.1.1)的 SOAP 服务，并且我还需要实现安全性。数据将是敏感的，因此将通过 HTTPS 传输。但是，我需要识别客户，并确保只有他们才能为其组织执行操作。

从表面上看，我在 JBoss 文档(以及其他 JAX-WS 提供程序文档)上看到的所有内容都表明需要编辑多个 .xml 文件(有些在应用程序服务器层)。

我真的在寻找一种方法，可以在我的服务中使用 SOAP header 调用一个类，并且可以在那里执行验证/身份验证/授权。非常感谢有人能够为我指明正确的方向。

Answer 1

• 您始终可以随请求一起显式发送身份验证数据(例如，除了正常参数之外，还包括用户和密码)。您必须确保连接已加密。

• 您可以使用公钥/私钥来优化这一点:因此，首先服务器发送其公钥，客户端使用该公钥加密用户/密码，然后服务器可以解密它使用它的私钥。由于这在请求的基础上可能太昂贵，服务器可以在一段时间内发出 token ，客户端可以在以下请求中发送该 token (因此 token 是建立 session )。

话虽如此，我知道 JBoss 安全设置有时是多么麻烦，您必须非常仔细地实现和测试它，否则您可能会打开一些安全漏洞( token 可能泄漏、 session 可能被捕获、 token 失效、SSL 连接在 Web 服务器中终止、明文密码保留在 RAM 中并在磁盘上分页等)。