web-services - Spring Restful Web 服务的安全性

Question

我正在编写一个 Spring Restful Web 服务项目。我需要编写安全的 Web 服务。对于安全性，我已经在使用 Spring Security+SSL，但是现在我需要一些加密和消息签名的安全性。我知道如何从代码加密消息，但是我正在寻找一种机制来启用自动加密/解密和消息签名。

我一直在寻找不同的安全替代方案，包括 spring WSS 和其他替代方案，但其中大部分是针对 SOAP 的。有人可以建议我一些更好的安全机制和相同的链接。

Answer 1

有多种方法可以保护您的restful webservices，不幸的是有很多链接提供信息来保护soap web服务的安全，但是随着restful越来越流行，找到一种保护和管理 session 的方法是非常必要的 Restful 网络服务。
因此，要通过 Restful 支持来保护我的 Spring MVC，您至少需要考虑三个方面

1) 认证。 -- 对于身份验证，可以使用 Spring Security。
2) 授权。 -- 对于授权请求，可以使用 OAuth。
3) 保证通信安全。 -- SSL 可用于保护通信 channel 。
4)加密——再次Oauth可以解决目的
5) 消息签名。 -- 再次Oauth可以解决目的

因此，可以使用 spring security + OAuth 来保护 Restful web 服务。可以使用的其他安全机制是 Http Basic Security 和 Digest Security。

这是一个很好的例子，用 spring 安全保护 spring Restful web 服务:
http://java.dzone.com/articles/securing-restful-web-service

还要结合 OAuth 使用 spring security，您可以按照本教程进行操作:

Spring security with OAuth