Java Web 服务: Axis2 WS-Security基础 - 编程入门网
cs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility- 1.0.xsd"
xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy">
<wsp:ExactlyOne>
<wsp:All>
<sp:TransportBinding xmlns:sp="http://schemas.xmlsoap.org/ws/2005/07/securitypolicy">
<wsp:Policy>
<sp:TransportToken>
<wsp:Policy>
<sp:HttpsToken RequireClientCertificate="false"/>
</wsp:Policy>
</sp:TransportToken>
</wsp:Policy>
</sp:TransportBinding>
<sp:SupportingTokens
xmlns:sp="http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702">
<wsp:Policy>
<sp:UsernameToken sp:IncludeToken="http://docs.oasis-open.org/
ws-sx/ws-securitypolicy/200702/IncludeToken/AlwaysToRecipient"/>
</wsp:Policy>
</sp:SupportingTokens>
</wsp:All>
</wsp:ExactlyOne>
</wsp:Policy>
Java Web 服务: Axis2 WS-Security基础(8)时间:2011-10-02 ibm Dennis Sosnoski清单 8 中使用粗体显示的代码是新增的部分,由 <sp:TransportBinding> 元素和嵌套的 <sp:HttpsToken> 元素组成。<sp:HttpsToken> 元素表示一个安全的 HTTPS 连接必须用于 与服务的通信。如果尝试使用此策略构建 service .aar(通过将 build.properties 中的 server- policy 值修改为 secure-policy-server.xml,然后运行 ant build-server)并部署它,将看到 Rampart 实施这项策略需求,拒绝任何普通的 HTTP 连接。 如果希望对服务使用一个 HTTPS 连接,这样做是可行的,但是首先需要配置您的 Web 服务器以支持 HTTPS。(Tomcat 提供了非常好的说明,可以从 /tomcat-docs/ssl-howto.html 访问)。还需要在 build.properties 中将 protocol 值修改为 https,并且如果对 Web 服务器使用的是自签名的证书,在 运行 Ant test 目标时需要向客户机发送一个证书存储库(trust store)。提供的 build.xml 有一个注 释掉的行可以实现这点,因此只需去掉此行的注释符号,并设置相应的证书存储库文件在系统中的位置。 另一种增强 UsernameToken 安全性的方法甚至可以处理未加密的链接。这种方法使用对一个字符串计 算得到的摘要(digest)值,该字符串由两个文本值和密码组成。其中一个文本值为 nonce,是由发送者 对每个请求生成的随机值。另一个文本值是一个生成的时间戳,表示发送者创建 UsernameToken 的时间 。这两个值都以明文形式包含在 UsernameToken 中。如果恰当地应用于客户机和服务器,组合这些值和 摘要中的密码使服务器能够验证在生成摘要时使用的是正确的密码,同时使得外部很难伪造有效的密码。 清单 9 给出了一个使用摘要密码的策略示例,其后是实际捕获的使用摘要密码的消息(全部重新格式化 以适合页面宽度 — 查找 hash-policy-client.xml 文件获得真实的策略),粗体显示的是与初始策略不 同的地方。 清单 9. 使用密码摘要的策略和样例消息 <wsp:Policy wsu:Id="UsernameToken" xmlns:wsu= "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility- 1.0.xsd" xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy"> <wsp:ExactlyOne> <wsp:All> <sp:SupportingTokens xmlns:sp="http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702"> <wsp:Policy> <sp:Usern |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务,公司网站:http://www.lingzhong.cn 为了给广大客户了解更多的技术信息,本技术文章收集来源于网络,凌众科技尊重文章作者的版权,如果有涉及你的版权有必要删除你的文章,请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息,谢谢! |