亚洲精品无码av人在线观看,亚洲精品无码专区,亚洲v高清理论电影

View Post

實現安全的AXIS Web服務，第2部分(轉)

內容：

Web 服務安全性相關技術和開發工具

SOAP消息的簽名和驗證

在AXIS下實現WS-Security的應用框架

陳亞強
高級軟件工程師
2004 年 8 月

本文將首先簡單介紹Web 服務安全性相關技術和開發工具，然后介紹了使用WSSecurity工具SOAP消息進行簽名和驗證的方法；接下來深入討論了使用現成的WS-Security工具，結合Handler模型開發一個axis下實現WS-Security的通用應用框架。

本文是J2EE Web服務開發系列文章的第十三篇，本文將首先簡單介紹Web 服務安全性相關技術和開發工具，然后介紹了使用WSSecurity工具SOAP消息進行簽名和驗證的方法；接下來深入討論了使用現成的WS-Security工具，結合Handler模型開發一個axis下實現WS-Security的通用應用框架。

閱讀本文前您需要以下的知識和工具：

Apache axis1.1，并且會初步使用；
Tomcat 5.0.16以上, 并且會初步使用；
SOAP消息（SOAP Message）編程知識；
Java安全編程基礎知識；
JAX-RPC編程基礎知識；
Servlet的開發經驗；
Sun提供的JAX-RPC參考實現（jaxrpc-impl.jar，在J2EESDK1.4或者JWSDP1.4中可找到）；
一個JSSE安全提供者（如ISNetworks）；
Trust Services Integration Kit，可在http://www.xmltrustcenter.org上獲得。

本文的參考資料見參考資料。

本文的全部代碼在這里下載。

Web 服務安全性相關技術和開發工具
Web 服務安全性規范是一套可以幫助 Web 服務開發者保證 SOAP 消息交換的安全的機制。WS-Security 特別描述了對現有的 SOAP 消息傳遞的增強，從而通過對 SOAP 消息應用消息完整性、消息機密性和單消息認證提供了保護級別。這些基本機制可以通過各種方式聯合，以適應構建使用多種加密技術的多種安全性模型。

圍繞Web服務的安全，有很多相關的技術，比如WS-Security，WS-Trace等，另外，還有以下相關技術：

XML Digital Signature（XML數字簽名）
XML Encryption （XML加密）
XKMS (XML Key Management Specification)
XACML (eXtensible Access Control Markup Language)
SAML (Secure Assertion Markup Language)
ebXML Message Service Security
Identity Management & Liberty Project

由于本文是一個實例性文章，故不對WS-Security做詳細的探討，你可以在develperWorks Web 服務安全專題找到許多相關資料（見參考資料）。

Trust Services Integration Kit提供了一個WS-Security實現。你可以從http://www.xmltrustcenter.org獲得相關庫文件，分別是wssecurity.jar和tsik.jar。wssecurity.jar中包含一個WSSecurity類，可以使用它來對XML進行數字簽名和驗證，加密與解密。

下面我們使用WS-Security來對SOAP消息進行數字簽名，然后再進行驗證。

SOAP消息的簽名和驗證

使用WSSecurity對SOAP消息數字簽名
在對SOAP消息進行簽名前，首先生成一個keystore。keystore包含了進行數字簽名所需要的身份信息。通過以下批處理腳本來創建keystore：

例程1 創建keystore（server.keystore）


set SERVER_DN="CN=hellking-Server, OU=huayuan, O=huayuan, L=BEIJINGC, S=BEIJING, C=CN"
set KS_PASS=-storepass changeit
set KS_TYPE=-storetype JKS
set KEYINFO=-keyalg RSA
#生成服務器端keystore。
keytool -genkey -dname %SERVER_DN% %KS_PASS% %KS_TYPE% -keystore 
server.keystore %KEYINFO% -keypass changeit

SignAndVerifySoap類中包含了一個對XML進行簽名的方法，它就是sign（），這個方法將對SOAP消息進行簽名，然后輸出和WS-Security兼容的SOAP消息。下面我們看具體代碼。

例程2 對SOAP消息簽名


	package com.hellking.study.webservice;
import com.verisign.messaging.WSSecurity;
...
public class SignAndVerifySoap {
	
	final String KEY_STORE = "server.keystore";
    final String SOTE_PASS = "changeit";
    final String KEY_ALIAS="mykey";
    final String TARGET_FILE="signed.xml";//簽名后的SOAP消息
    final String SOURE_FILE="source.xml";//簽名前的SOAP消息
    final String KEY_TYPE="JKS";
	
	/**
	 *對xml進行簽名
	 */
	public void sign()
	{	

		try
		{
			System.out.println("開始對SOAP消息進行簽名，使用的密匙庫：" + KEY_STORE + "\n");
		
		// 獲得私有key和相關證書，請參考JAVA安全編程相關書籍
		FileInputStream fileInputStream = new FileInputStream(KEY_STORE);
		System.out.println(java.security.KeyStore.getDefaultType());
		java.security.KeyStore store = java.security.KeyStore.getInstance(KEY_TYPE);
		store.load(fileInputStream, SOTE_PASS.toCharArray());
		PrivateKey key = (PrivateKey)store.getKey(KEY_ALIAS, SOTE_PASS.toCharArray());
		X509Certificate certification = (X509Certificate)store.getCertificate(KEY_ALIAS);

		// 讀取XML源文件到文檔中
		Document source = readFile(SOURE_FILE);
		SigningKey signingKey = SigningKeyFactory.makeSigningKey(key);
		KeyInfo keyInfo = new KeyInfo();
		keyInfo.setCertificate(certification);

		WSSecurity wsSecurity = new WSSecurity();

		wsSecurity.setPreferredNamespace("http://schemas.xmlsoap.org/ws/2003/06/secext");
		//對SOAP消息進行簽名
		wsSecurity.sign(source, signingKey, keyInfo);
		// 保存簽名后的SOAP消息	
		writeFile(source, new FileOutputStream(TARGET_FILE));
		System.out.println("把簽名后的文件寫入： " + TARGET_FILE + "，請查看結果！");
	}
	catch(Exception e)
	{
		e.printStackTrace();
	}		
	}

在執行此程序前，請把wssecurity.jar、source.xml和tsik.jar設置到類路徑環境變量中。簽名前的SOAP為：

例程3 簽名前的SOAP消息（source.xml）


<?xml version="1.0" encoding="UTF-8"?>
<soapenv:Envelope 
	xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" 
	xmlns:xsd="http://www.w3.org/2001/XMLSchema" 
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
 <soapenv:Body>
  <ns1:getTax soapenv:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"
xmlns:ns1="http://hellking.webservices.com/">
   <op1 xsi:type="xsd:double">5000.0</op1>
  </ns1:getTax>
 </soapenv:Body>
</soapenv:Envelope>

簽名后的SOAP消息如例程4所示。

例程4 簽名后的SOAP消息（signed.xml）


<?xml version="1.0" encoding="UTF-8"?>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" 
xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
 <soapenv:Header>
<wsse:Security xmlns:wsse="http://schemas.xmlsoap.org/ws/2003/06/secext">
<wsse:BinarySecurityToken EncodingType="wsse:Base64Binary" 
ValueType="wsse:X509v3" wsu:Id="wsse-ee805a80-cd95-11d8-9cf9-fd6213c0f8be" 
xmlns:wsu="http://schemas.xmlsoap.org/ws/2003/06/utility">MIICUjCCAbsCBEDB0GIwDQYJKoZIhvcNAQE…VkTkPw==
</wsse:BinarySecurityToken>
<ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<ds:SignedInfo>
<ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
<ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
<ds:Reference URI="#wsse-ee5308f0-cd95-11d8-9cf9-fd6213c0f8be">
<ds:Transforms><ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
</ds:Transforms><ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
<ds:DigestValue>ZjRVnI2g7kcX0h9r4JtiltpYQPA=</ds:DigestValue></ds:Reference>
<ds:Reference URI="#wsse-ee4e4e00-cd95-11d8-9cf9-fd6213c0f8be">
<ds:Transforms><ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
</ds:Transforms><ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
<ds:DigestValue>moZ0d+8mH1kfNw0VEK39V0Td9EM=</ds:DigestValue>
</ds:Reference>
</ds:SignedInfo>
<ds:SignatureValue>fPpYrf0uNP8W2XVVIQNc3OQt2Wn90M/0uJ0dDZTNRR0NxBBBX36wSXt7NfI5Fmh4ru44Wk34EGI7mqMAE5O0
/wtIlFRJt3zAvA6k3nhgcYj6tn/9kZwwxh1RkFTfTX9xdQ6Xn+P6m+YBm1YEEcTWkJd7XcxdyDEns2kYOhONx1U=
</ds:SignatureValue>
<ds:KeyInfo><wsse:SecurityTokenReference>
<wsse:Reference URI="#wsse-ee805a80-cd95-11d8-9cf9-fd6213c0f8be"/>
</wsse:SecurityTokenReference>
</ds:KeyInfo>
</ds:Signature></wsse:Security>
<wsu:Timestamp xmlns:wsu="http://schemas.xmlsoap.org/ws/2003/06/utility">
<wsu:Created wsu:Id="wsse-ee4e4e00-cd95-11d8-9cf9-fd6213c0f8be">2004-07-04T08:41:23Z</wsu:Created>
</wsu:Timestamp></soapenv:Header>
<soapenv:Body wsu:Id="wsse-ee5308f0-cd95-11d8-9cf9-fd6213c0f8be" 
	xmlns:wsu="http://schemas.xmlsoap.org/ws/2003/06/utility">
  <ns1:getTax soapenv:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/" 
  	xmlns:ns1="http://hellking.webservices.com/">
   <op1 xsi:type="xsd:double">5000.0</op1>
  </ns1:getTax>
 </soapenv:Body>
</soapenv:Envelope>

簽名后的SOAP消息中，頭部包含了簽名信息以及驗證SOAP消息所需要的key。<SignedInfo> </SignedInfo> 描述了已簽署的消息內容。<SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/> 指出了簽名算法（Signature Method Algorithm）。這個算法被用來將規范算法的輸出轉換成簽名值（Signature Value）。Key Info 元素包含的部分就是數字證書本身。

對簽名的SOAP消息進行驗證
對SOAP消息進行驗證就是使用keystore的信息生成TrustVerifier對象，然后調用WSSecurity的verify方法進行驗證。

例程5 驗證簽名后的SOAP消息


	/**
	 *驗證已經簽名的SOAP消息
	 */
	public void verify()
	{
		try
		{
			System.out.println("開始檢驗SOAP消息，使用的密匙庫：" + KEY_STORE + "\n");
		
		// 獲得私有key和相關證書，請參考JAVA安全編程相關書籍
		FileInputStream fileInputStream = new FileInputStream(KEY_STORE);

		java.security.KeyStore store = java.security.KeyStore.getInstance(KEY_TYPE);
		store.load(fileInputStream, SOTE_PASS.toCharArray());
	
		// 讀取XML源文件到文檔中
		Document source = readFile(TARGET_FILE);
		org.xmltrustcenter.verifier.TrustVerifier verifier =
            new org.xmltrustcenter.verifier.X509TrustVerifier(store);

		WSSecurity wsSecurity = new WSSecurity();

        com.verisign.messaging.MessageValidity[] resa =
     wsSecurity.verify(source,verifier,null,null);
       System.out.println("檢驗結果：");
	   for (int len = 0; len < resa.length; len++){
      System.out.println("result[" + len + "] = " + (resa[len].isValid()?"驗證通過":"驗證不通過"));
    }
    }

    catch(Exception e)
	{
		e.printStackTrace();
	}
}

執行SignAndVerifySoap的verify方法，可以看到類似以下的結果。

圖1 對SOAP消息進行驗證

在AXIS下實現WS-Security的應用框架
待開發的應用開發框架基于Handler實現，將達到以下目標：此框架基于JAX-RPC環境下實現WS-Security應用，它可以部署到任何需要實現WS-Security的axis環境下的Web服務應用中，同時具體的應用程序不做任何編碼修改。

由于此基于Handler實現，我們有必要回顧一下Handler的一些基礎知識。

SOAP消息Handler能夠訪問代表RPC請求或者響應的SOAP消息。在JAX-RPC技術中，SOAP消息Handler可以部署在服務端，也可以在客戶端使用。

SOAP消息Handler非常像Servlet技術中的Filter，它們共同的特點是請求發送到目標前，Handler/Filter可以截取這些請求，并對請求做一些處理，從而達到一些輔助的功能。多個Handler可以組成一個Handler鏈，鏈上的每個Handler都完成某個特定的任務。比如有的Handler進行權限驗證，有的Handler進行日志處理等。關于Handler更詳細的介紹，請參考本系列文章《 J2EE Web服務開發系列之六: 使用Handler來增強Web服務的功能》。

實現原理
圖2是此例子具體實現原理圖。

圖2 Handler結合WSSecurity實現Web服務安全的工作原理

處理流程如下：

1、客戶端（WSSClient）發出調用Web服務請求；

2、客戶端Handler（WSSecurityClientHandler）截獲請求的SOAP消息；

3、客戶端Handler對截獲的SOAP消息進行數字簽名（使用client.keystore作為簽名依據）；

4、客戶端Handler對簽名后的SOAP消息進行加密（使用RSA算法加密）；

5、被加密的SOAP消息通過互聯網傳送到目標Web服務端口；

6、服務器端Handler（WSSecurityServerHandler）截獲加密的SOAP消息；

7、服務器端Handler對加密的SOAP消息進行解密；

8、服務器端Handler對SOAP消息進行身份驗證（server.truststore包含了所信任的身份信息），如果驗證不通過，將拋出異常；

9、服務器端Handler刪除被解密后的SOAP消息中與WS-Security相關的元素；

10、解密后的原始SOAP消息被發送到目標Web服務端口（如TaxService）；

11、目標Web服務對Web服務請求進行處理，然后返回響應的SOAP消息；

12、服務器端Handler截獲響應的SOAP消息；

13、服務器端Handler對截獲的SOAP消息進行數字簽名（使用server.keystore作為簽名依據）；

14、服務器端Handler對簽名后的SOAP消息進行加密（使用RSA算法加密）；

15、被加密的SOAP消息通過互聯網傳送到目客戶端；

16、客戶端Handler截獲加密的SOAP消息；

17、客戶端Handler對加密的SOAP消息進行解密；

18、客戶端Handler對SOAP消息進行身份驗證（client.truststore包含了所信任的身份信息），如果驗證不通過，將拋出異常；

19、客戶端Handler刪除被解密后的SOAP消息中與WS-Security相關的元素；

20、被解密后的SOAP消息發送到目標客戶端，客戶端輸出調用結果。

從上面可以看出，在一個SOAP調用回合中，要對SOAP消息進行四次處理?；旧隙际?簽名'加密'解密'驗證"的過程。

創建相關密匙庫
客戶端和服務端都有相關的密匙庫，其中：

client.keystore：客戶端自身的身份信息；
client.truststore：客戶端所信任的身份信息，在此例中也就是包含了服務器的身份信息；
server.keystore：服務器自身的身份信息；
server.truststore：服務器所信任的身份信息（即客戶端身份信息）。

你可以使用以下的批處理腳本創建上面四個密匙庫。

例程6 創建相關密匙庫（gen-cer-store.bat）


set SERVER_DN="CN=hellking-Server, OU=huayuan, O=huayuan, L=BEIJINGC, S=BEIJING, C=CN"
set CLIENT_DN="CN=hellking-Client, OU=tsinghua, O=tsinghua, L=BEIJING, S=BEIJING, C=CN"
set KS_PASS=-storepass changeit
set KEYINFO=-keyalg RSA
#生成server.keystore。
keytool -genkey -dname %SERVER_DN% %KS_PASS% -keystore server.keystore %KEYINFO% -keypass changeit
#從server.keystore導出數字證書。
keytool -export -file test_axis.cer %KS_PASS% -keystore server.keystore
#從服務器的數字證書導出到客戶端信任的truststore中。
keytool -import -file test_axis.cer %KS_PASS% -keystore client.truststore -alias serverkey -noprompt

#生成client.keystore。
keytool -genkey -dname %CLIENT_DN% %KS_PASS% -keystore client.keystore %KEYINFO% -keypass changeit
#從client.keystore導出數字證書。
keytool -export -file test_axis.cer %KS_PASS% -keystore client.keystore
#從客戶端的數字證書導出到服務器信任的truststore中。
keytool -import -file test_axis.cer %KS_PASS% -keystore server.truststore -alias clientkey -noprompt

#end

簽名、加密、解密、身份驗證的實現
對SOAP消息的簽名、加密、解密、身份驗證都放在一個名為WSSHelper的類中進行。

例程7 簽名、加密、解密、身份驗證功能的實現――WSSHelper.java


package com.hellking.study.webservice;
import com.verisign.messaging.WSSecurity;
...
public class WSSHelper {
	static String PROVIDER="ISNetworks";//JSSE安全提供者。	
   //添加JSSE安全提供者，你也可以使用其它安全提供者。只要支持DESede算法。
	static
	{
	java.security.Security.addProvider(new com.isnetworks.provider.jce.ISNetworksProvider());
    }
    /**
     *對XML文檔進行數字簽名。
     */
	public static void sign(Document doc, String keystore, String storetype,
						String storepass, String alias, String keypass) throws Exception {
		FileInputStream fileInputStream = new FileInputStream(keystore);
		java.security.KeyStore keyStore = java.security.KeyStore.getInstance(storetype);
		keyStore.load(fileInputStream, storepass.toCharArray());
		PrivateKey key = (PrivateKey)keyStore.getKey(alias, keypass.toCharArray());
		X509Certificate cert = (X509Certificate)keyStore.getCertificate(alias);

		SigningKey sk = SigningKeyFactory.makeSigningKey(key);
		KeyInfo ki = new KeyInfo();
		ki.setCertificate(cert);

		WSSecurity wSSecurity = new WSSecurity();
		wSSecurity.sign(doc, sk, ki);//簽名。
	}
    /**
     *對XML文檔進行身份驗證。
     */
	public static boolean verify(Document doc, String keystore, String storetype,
						String storepass) throws Exception {
		FileInputStream fileInputStream = new FileInputStream(keystore);
		java.security.KeyStore keyStore = java.security.KeyStore.getInstance(storetype);
		keyStore.load(fileInputStream, storepass.toCharArray());

		TrustVerifier verifier = new X509TrustVerifier(keyStore);

		WSSecurity wSSecurity = new WSSecurity();
		MessageValidity[] resa = wSSecurity.verify(doc, verifier, null,null);
		if (resa.length > 0)
			return resa[0].isValid();
		return false;
	}
   /**
    *對XML文檔進行加密。必須有JSSE提供者才能加密。
    */
	public static void encrypt(Document doc, String keystore, String storetype,
						String storepass, String alias) throws Exception {
		try
		{
				
		FileInputStream fileInputStream = new FileInputStream(keystore);
		java.security.KeyStore keyStore = java.security.KeyStore.getInstance(storetype);
		keyStore.load(fileInputStream, storepass.toCharArray());
		X509Certificate cert = (X509Certificate)keyStore.getCertificate(alias);
		
		PublicKey pubk = cert.getPublicKey();
		KeyGenerator keyGenerator = KeyGenerator.getInstance("DESede",PROVIDER);		
		keyGenerator.init(168, new SecureRandom());
		SecretKey key = keyGenerator.generateKey();
		KeyInfo ki = new KeyInfo();
		ki.setCertificate(cert);

		WSSecurity wSSecurity = new WSSecurity();
		//加密。
		wSSecurity.encrypt(doc, key, AlgorithmType.TRIPLEDES, pubk, AlgorithmType.RSA1_5, ki);
	}
	catch(Exception e)
	{
		e.printStackTrace();
	}
	}
    /**
     *對文檔進行解密。
     */
	public static void decrypt(Document doc, String keystore, String storetype,
						String storepass, String alias, String keypass) throws Exception {
		FileInputStream fileInputStream = new FileInputStream(keystore);
		java.security.KeyStore keyStore = java.security.KeyStore.getInstance(storetype);
		keyStore.load(fileInputStream, storepass.toCharArray());
		PrivateKey prvk2 = (PrivateKey)keyStore.getKey(alias, keypass.toCharArray());

		WSSecurity wSSecurity = new WSSecurity();
		//解密。
		wSSecurity.decrypt(doc, prvk2, null);
		WsUtils.removeEncryptedKey(doc);//從 WS-Security Header中刪除 EncryptedKey 元素
	}

	public static void removeWSSElements(Document doc) throws Exception {
		WsUtils.removeWSSElements(doc);// 刪除WSS相關的元素。
	}		
}

WSSHelper類中使用了ISNetworks安全提供者，ISNetworks實現了RSA加密、解密算法。當然，你也可以使用其它的安全提供者，并且可以使用不同的加密算法。可以從網絡上下載ISNetworks相關包。

WSSHelper中包含了一個WsUtils類，它的功能就是從加密后的SOAP消息中刪除一些WS-Security元素，刪除這些元素后的SOAP消息才能被最終的客戶端或者Web服務端處理。

服務器端Handler開發
當請求到達后，服務端Handler調用handleRequest方法，執行如下過程：對請求SOAP消息解密'身份驗證'刪除WSS元素'把Document轉換成SOAP消息。 Web服務端點對請求做出響應后，將調用handleResponse方法，執行如下過程：對響應的SOAP消息進行數字簽名'加密'把Document轉換成SOAP消息。

例程8 服務器端Handler（WSSecurityServerHandler.java）


package com.hellking.study.webservice;
...

//服務器端Handler
public class WSSecurityServerHandler implements Handler 
{
	 	//密匙庫相關信息
private String keyStoreFile = null;
		private String keyStoreType = "JKS";
		。。。
		
		public WSSecurityServerHandler()
		{
			System.out.println("服務端Handler：構造方法");
		}
	    /**
	     *處理請求
	     *流程：解密-->身份驗證-->刪除WSS元素'把Document轉換成SOAP消息。
	     */	     
	    public boolean handleRequest(MessageContext messageContext) {
	 	
	        	System.out.println("開始處理請求。。。");
    	if (messageContext instanceof SOAPMessageContext){
			try {
	SOAPMessageContext soapMessageContext = (SOAPMessageContext)messageContext;
				SOAPMessage soapMessage = soapMessageContext.getMessage();
				soapMessage.writeTo(System.out);
	Document doc = MessageConveter.convertSoapMessageToDocument(soapMessage);
                    //解密
				WSSHelper.decrypt(doc, keyStoreFile, keyStoreType,
						keyStorePassword, keyAlias, keyEntryPassword);
                     //身份驗證
				WSSHelper.verify(doc, trustStoreFile, trustStoreType, trustStorePassword);
				//刪除WSS元素
WSSHelper.removeWSSElements(doc);

				soapMessage = MessageConveter.convertDocumentToSOAPMessage(doc);
				soapMessageContext.setMessage(soapMessage);
			} catch (Exception e){

				System.err.println("在處理請求時發生了異常： " + e);
				e.printStackTrace();
				return false;
			}
		} else {
			System.out.println("MessageContext是以下類的實例： " + messageContext.getClass());
		}
		 System.out.println("處理請求完畢！");
        return true;
    }
    
    /**
     *處理響應
     *流程：數字簽名-->加密-->把Document轉換成SOAP消息。
     */
     public boolean handleResponse(MessageContext messageContext) {
        	System.out.println("開始處理Web服務響應。。。");
        if (messageContext instanceof SOAPMessageContext){
			try {
		SOAPMessageContext soapMessageContext = (SOAPMessageContext)messageContext;
				SOAPMessage soapMessage = soapMessageContext.getMessage();
		Document doc = MessageConveter.convertSoapMessageToDocument(soapMessage);
				WSSHelper.sign(doc, keyStoreFile, keyStoreType,
						keyStorePassword, keyAlias, keyEntryPassword);
				WSSHelper.encrypt(doc, trustStoreFile, trustStoreType,
						trustStorePassword, certAlias);

				soapMessage = MessageConveter.convertDocumentToSOAPMessage(doc);
				soapMessageContext.setMessage(soapMessage);
			} catch (Exception e){
				System.err.println("在處理響應時發生以下錯誤： " + e);
				e.printStackTrace();
				return false;
			}
		}
	
		System.out.println("處理響應完畢！");
        return true;
    }
    /**
     *初始化，主要是初始化一些相關參數。
     */
     public void init(HandlerInfo config) {
		System.out.println("WSSecurityServerHandler初始化");
		Object param = "";
		Map configs = config.getHandlerConfig();
		keyStoreFile = (String)configs.get("keyStoreFile");
		trustStoreFile = (String)configs.get("trustStoreFile");
		…//其它參數初始化	
    }
	…
}

客戶端Handler開發
客戶端Handler可以是任何JAX-RPC兼容的Handler處理器。比如AXIS Handler實現或者SUN 提供的JAX-RPC Handler參考實現。這里使用后者來作為客戶端Handler處理器。

客戶端Handler和服務器端Handler原理一樣，但處理過程完全相反。

例程9 客戶端Handler（WSSecurityClientHandler.java）


package com.hellking.study.webservice;
…

//客戶端Handler
public class WSSecurityClientHandler implements Handler 
{       
       //密匙庫相關信息   
	    ...
		
	    /**
	     *處理請求
	     *流程：數字簽名-->加密-->把Document轉換成SOAP消息。
	     */	     
	    public boolean handleRequest(MessageContext messageContext) {
	 	
	        	System.out.println("開始處理請求。。。");
           …
		       	WSSHelper.sign(doc, keyStoreFile, keyStoreType,
				keyStorePassword, keyAlias, keyEntryPassword);
			    WSSHelper.encrypt(doc, trustStoreFile, trustStoreType,
trustStorePassword, certAlias);
				soapMessage = MessageConveter.convertDocumentToSOAPMessage(doc);
				soapMessageContext.setMessage(soapMessage);
			…
		 System.out.println("處理請求完畢！");
        return true;
    }
    
    /**
     *處理響應
     *流程：解密-->身份驗證-->刪除WSS元素'把Document轉換成SOAP消息。
     */
     public boolean handleResponse(MessageContext messageContext) {

        	System.out.println("開始處理Web服務響應。。。");
       …
			    WSSHelper.decrypt(doc, keyStoreFile, keyStoreType,
						keyStorePassword, keyAlias, keyEntryPassword);				
				
				WSSHelper.verify(doc, trustStoreFile, trustStoreType, trustStorePassword);
				WSSHelper.removeWSSElements(doc);

				
				soapMessage = MessageConveter.convertDocumentToSOAPMessage(doc);
								System.out.println("the final message is:");
								soapMessage.writeTo(System.out);
				soapMessageContext.setMessage(soapMessage);
			…		
			System.out.println("處理響應完畢！");
        return true;
    }
    /**
     *初始化，主要是初始化一些相關參數。
     */
     public void init(HandlerInfo config) {
		…
    }
	…
}

部署服務器端Handler
為了使用Handler，需要在Web服務部署描述符中指定使用此Handler。Handler包含的初始化參數也在此描述，如例程10所示。

例程10 服務器端Handler部署代碼


  <service name="PersonalTaxServicePort" provider="java:RPC">
  <parameter name="allowedMethods" value="*"/>
  <parameter name="className" value="com.hellking.study.webservice.PersonalTaxService"/>
  <parameter name="wsdlTargetNamespace" value="http://hellking.webservices.com/"/>
  <parameter name="wsdlServiceElement" value="PersonalTaxService"/>
  <parameter name="wsdlServicePort" value="PersonalTaxServicePort"/>
  <parameter name="wsdlPortType" value="PersonalTaxService"/>
  <requestFlow>
   <handler type="java:org.apache.axis.handlers.JAXRPCHandler">
    <parameter name="scope" value="session"/>
    <parameter name="className"
            value="com.hellking.study.webservice.WSSecurityServerHandler"/>
    <parameter name="keyStoreFile"
            value="K:\\jakarta-tomcat-5.0.16\\server.keystore"/>
    <parameter name="trustStoreFile"
            value="K:\\jakarta-tomcat-5.0.16\\server.truststore"/>
    <parameter name="certAlias" value="clientkey"/>
   </handler>
  </requestFlow>
  <responseFlow>
   <handler type="java:org.apache.axis.handlers.JAXRPCHandler">
    <parameter name="scope" value="session"/>
    <parameter name="className"
            value="com.hellking.study.webservice.WSSecurityServerHandler"/>
    <parameter name="keyStoreFile"
            value="K:\\jakarta-tomcat-5.0.16\\server.keystore"/>

    <parameter name="trustStoreFile"
            value="K:\\jakarta-tomcat-5.0.16\\server.truststore"/>
    <parameter name="certAlias" value="clientkey"/>
   </handler>
  </responseFlow>
  </service>

requestFlow表示Web服務PersonalTaxServicePort的請求處理Handler鏈。這里只有一個Handler，就是WSSecurityServerHandler。當Web服務請求到達PersonalTaxServicePort時，WSSecurityServerHandler的handleRequest方法將被自動調用。

注意：部署時，請改變Handler相關參數以和目標的Web服務一致，比如trustStoreFile的路徑等。

調用測試
這里采用代理的方式來調用Web服務，先編寫一個Web服務接口。

例程11 TaxServiceInterface


package com.hellking.study.webservice;
…
/**
 *個人所得稅Web服務。
 */
public interface TaxServiceInterface extends Remote
{
	public double getTax(double salary)throws java.rmi.RemoteException;
}

WSSClient客戶端程序是通過代理的方式來訪問Web服務的。由于要使用Handler，所以在訪問前通過registerHandlers（）方法注冊了WSSecurityClientHandler，并且初始化了WSSecurityClientHandler的相關參數。當然，JAX-RPC"參考實現"還支持在Web服務客戶端配置文件中描述Handler信息，這樣就不需要在客戶端代碼中對Handler進行注冊了，你可以參考相關文檔。

例程12 測試客戶端程序（WSSClient）


package com.hellking.study.webservice;

...
/**
 *調用需要驗證的Web服務
 */
public class WSSClient
{
	static	final double salary=5000;
    public static void main(String [] args)
    {
        try {
        	//服務端的url，需要根據情況更改。            
            String endpointURL = "http://localhost:8080/axis/services/PersonalTaxServicePort";
            String wsdlURL=endpointURL+"?wsdl";
            java.net.URL targetURL= new java.net.URL(wsdlURL);
            String nameSpaceUri = "http://hellking.webservices.com/";
            String svcName = "PersonalTaxService";		
		    String portName = "PersonalTaxServicePort";

            ServiceFactory svcFactory = ServiceFactory.newInstance();

            Service svc = svcFactory.createService(targetURL, new QName(nameSpaceUri, svcName));
            //cfg表示客戶端的配置信息。
            java.util.HashMap cfg = new java.util.HashMap();
			
			cfg.put("keyStoreFile", "client.keystore");			
			cfg.put("trustStoreFile", "client.truststore");			
			cfg.put("certAlias", "changeit");
			
		    Class hdlrClass = com.hellking.study.webservice.WSSecurityClientHandler.class;
			
			java.util.List list = svc.getHandlerRegistry().
			
			               getHandlerChain(new QName(nameSpaceUri, portName));
			
			list.add(new javax.xml.rpc.handler.HandlerInfo(hdlrClass, cfg, null));
			
		     registerHandlers (svc);
			
			 TaxServiceInterface myProxy = 
               ( TaxServiceInterface) svc.getPort(new QName(nameSpaceUri, portName), 
                 TaxServiceInterface.class);       
              double ret=myProxy.getTax(5000);
			System.out.println("使用HTTP協議來作為Web服務的傳輸協議！");			
            System.out.println("已經成功調用。請參看服務端的輸出!");
            System.out.println("輸入工資"+salary+"元，應交個人所得稅："+ret);
        } catch (Exception e) {
        	e.printStackTrace();
        }
    }
    //注冊Handler
    private static void registerHandlers ( Service service ) 
		throws javax.xml.rpc.ServiceException {
		
		java.util.HashMap cfg = new java.util.HashMap();
			
			cfg.put("keyStoreFile", "client.keystore");			
			cfg.put("trustStoreFile", "client.truststore");			
			cfg.put("certAlias", "changeit");
			
		/*
		* 封裝客戶端Handler到HandlerInfo 中，然后添加到Handler鏈中。
		*/ 
	javax.xml.rpc.handler.HandlerInfo info = new javax.xml.rpc.handler.HandlerInfo
	(com.hellking.study.webservice.WSSecurityClientHandler.class, cfg, null );
		java.util.ArrayList handlerList = new java.util.ArrayList();
		handlerList.add(info);
		
		/*
		* 獲得Handler注冊
		*/
		javax.xml.rpc.handler.HandlerRegistry handlerRegistry = service.getHandlerRegistry();
		
		/*
		* 把Handler添加到所有的port中。
		*/
		java.util.Iterator portIterator = service.getPorts();
		while ( portIterator.hasNext()) {
			Object obj=portIterator.next();
		QName portName = (QName) obj;
		handlerRegistry.setHandlerChain(portName, handlerList);
		}
    }
    
}

注意：由于客戶端使用了SUN公司提供的"JAX-RPC參考實現"，所以必須把jaxrpc-impl.jar包設置在CLASSPATH環境變量中，并且不要把axis.jar設置在客戶端CLASSPATH環境變量，否則會出現ClassCastException異常。這是因為axis也是JAX-RPC的實現，如果它在CLASSPATH環境變量中，當調用：

ServiceFactory svcFactory = ServiceFactory.newInstance()方法時，就可能初始化一個axis的ServiceFactory 實現。

本文源代碼中client目錄下wss-client.bat文件包含了執行WSSClient腳本，修改了部分環境變量參數后，才能執行。

總結
本文和上一篇文章介紹了幾種不同實現Web服務安全的方法，你可以根據具體應用對安全的要求級別采用不同的方式。對于安全級別要求不高的應用，可以采用在Web服務器上使用基本認證、使用Axis的Handler或者使用Servlet過濾器來實現訪問控制；對于安全要求高的應用，可以采用本篇介紹開發的"axis下實現WS-Security的通用應用框架"來實現安全性。

posted on 2005-06-24 15:08 Victor 閱讀(940) 評論(0) 編輯收藏所屬分類: web services

新用戶注冊刷新評論列表


只有注冊用戶登錄后才能發表評論。




網站導航: 博客園 IT新聞 Chat2DB C++博客博問管理
相關文章: 使用JAXB處理XML文檔--先睹為快 JAXM開發Web服務的構架和模式(good2) 用JAXM開發Web服務(good) 用JAXM發送和接收SOAP消息 SOAP Header:擴展SOAP能力的途徑使用SOAP開發java web服務--Axis開發方案基于JAX-RPC的快速Web服務開發方案深入探索SOAP1.1--使用SAAJ1.2.1 實現安全的AXIS Web服務，第2部分(轉) 實現安全的AXIS Web服務，第1部分(轉)

優雅天平

常用鏈接

留言簿

隨筆檔案(18)

文章分類(62)

文章檔案(61)

相冊

blog

站點搜藏

搜索

積分與排名

最新評論

閱讀排行榜

評論排行榜

View Post

實現安全的AXIS Web服務，第2部分(轉)

優雅天平

常用鏈接

留言簿

隨筆檔案(18)

文章分類(62)

文章檔案(61)

相冊

blog

站點搜藏

搜索

積分與排名

最新評論

閱讀排行榜

評論排行榜

View Post

實現安全的AXIS Web服務，第2部分(轉)

實現安全的AXIS Web服務，第2部分(轉)