web-services - Web 服务的安全性(REST 和 SOAP)

Question

就目前而言，这个问题不适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visit the help center寻求指导。




8年前关闭。




我在这里的第一篇文章!我想获得一些有关 Web 服务安全性的社区帮助。

我正在做最先进的 Web 服务安全性。我需要一个解决方案的每一点，以解决关于识别、访问控制、传输相关问题(如数据完整性、保护、不可否认性)的问题。

所以我获取了一些现实世界的解决方案来满足这些需求，我找到了基于 SOAP 的 Web 服务的解决方案:

标识:WS-Security 框架

身份验证:可扩展访问控制标记语言 (XACML)

授权

可扩展权限标记语言 (XrML)

XML key 管理 (XKMS)

安全断言标记语言 (SAML)

.NET 护照

保密

WS 安全框架

XML 加密

安全套接层 (SSL)

社会服务部

几乎所有这些都可以使用 spring-security 来实现

另一方面，RESTful Web 服务的安全性较低。基于网络 SSL/TLS 是一种很好的加密解决方案，但确实存在其他安全协议(protocol)，例如:

OAuth:由 facebook、twitter 使用，无需 token 交换

OpenID:谷歌使用

中国科学院

LDAP、Kerberos

角色，浏览器 ID

另一种解决方案可能是将企业总线中的安全集成为服务(Security as a Service)。

所以我的问题是:还有其他我应该知道的解决方案吗？还有其他框架吗？

非常感谢

Answer 1

只是补充一点，对于restful webservices，开发者可以使用tomcat servlet 容器提供的安全性。这可以通过在 server.xml 和 tomcat-users.xml 中配置领域来完成。
此处配置详细信息-> http://tomcat.apache.org/tomcat-7.0-doc/realm-howto.html

最适合的可以是基于表单的身份验证。
引用:http://www.onjava.com/pub/a/onjava/2001/08/06/webform.html?page=2