web-services - 通过 Web 服务发送二进制数据并使用 WS-Security

Question

我们必须使用 Web 服务堆栈传输二进制数据，并且在此过程中我们必须对 Web 服务请求/响应进行签名。

主要问题是:执行此操作的首选方法是什么？

我们应该使用 MTOM 和 WS-Security 吗？
来自 ISSUE CXF-1904我得出的结论是，使用 MTOM 和 WS-Security 时会出现问题。 CXF 和axis2 使用WSS4J，当您使用MTOM 时，WSS4J 似乎不能很好地处理数字签名的消息。

其他 Web 服务栈呢？

Answer 1

CXF 可以与 MTOM 一起做 WS-Security 相关的事情，但附件最终不会被签名或加密。 SOAP 消息本身已签名/加密，但附件不是由于 WSS4J 中的限制。 (如果 SpringWS 使用 WSS4J，它会有相同的限制)

出于安全原因，在将 WSS4JOutInterceptor 与 CXF 一起使用时，默认情况下，我们关闭 MTOM 以确保它们被内联然后签名/加密。这是一个安全的选择。 WSS4JOutInterceptor 确实有一个标志 (out.setAllowMTOM(true))，它允许 MTOM 作为附件保留，但请记住，这些附件不会被“保护”。