我正在为我的 Web 服务添加安全性并选择签署Timestamp和Token.
在阅读文档时，我发现了很多他们签署消息的Body示例SOAP。
我的问题是：什么是最好的签名？
据我了解，如果签名很大，Body可能会导致性能问题。Body
谢谢。
问问题
1343 次
2 回答
2
您绝对应该签署整个邮件正文。
XMLDSIG 在<SignedInfo> 中定义的引用部分的摘要上执行。与 PKI 操作相比，通过大型主体运行 SHA1 之类的哈希算法所需的时间非常少。你不应该担心性能。
于 2010-05-25T23:25:56.983 回答
0
如果客户端通过 HTTPS 向服务器发送 WS-Secure SOAP 请求，我的理解是，即使有人嗅到了流量，他们也无法将其解密以查看 SOAP 消息，因此无法修改它。所以我认为不需要双向 SSL。
当通过 HTTPS 使用 WS-Secure 时，我们是否可以不让 HTTPS 负责加密，而只是使用 WS-Secure 进行身份验证（即对 SOAP 消息的某些部分进行时间戳或正文或其他签名）？
于 2010-05-27T15:00:02.333 回答