web-services - WS 安全机制之间的区别

Question

通过修改 web.xml/ejb-jar.xml 与通过 WS-Policy 修改 WSDL 来通过 SSL 实现 SOAP 消息之间有什么优势？

我们的项目可以通过添加传输保证来实现让我们的客户（我们自己）通过安全连接访问 Web 服务的目标，但我们不确定这是否是一个完整/正确的解决方案。

Answer 1

使用 SSL，您可以获得客户端和服务之间的点对点加密。如果服务不是消息的最终接收者，而是将此消息路由到另一个服务的代理，则您在两个服务之间没有加密，或者您也必须对其进行配置。

通过 WS-Policy 配置的 WS-Security 有可能在客户端和消息的最终接收者之间为您提供端到端加密，因为您可以加密消息正文。您不需要为每对通信实体配置 SSL。每个代理都可以按照标头中的定义路由消息。

也就是说，如果您不需要端到端保证，但点对点就足够了（据我了解，这是您的方案），我会说使用 SSL 是一个公平的选择。

要考虑的另一件事是客户端和服务的 WS-Security 实现需要能够互操作。SSL 通常相当成熟，但我个人的经验是 WS-Security 实现还不是。因此，如果您为客户端和服务器使用不同的 WS-* 堆栈，则可能需要进行一些黑客攻击和反复试验才能找到适用于两者的策略配置。