问题标签 [ws-security]

我正在尝试开发一个在 Glassfish 容器（Metro）中使用 Web 服务的独立客户端应用程序。我所要做的就是为我正在尝试使用的服务提供一个 wsdl。wsdl 充斥着各种“wsp:Policy”标签。看起来 IssuedToken、Trust13、ecryption 都被使用了。所以我从 netbeans 和 JAX-WS 生成了一些代码。一切顺利，但在尝试运行客户端时，我得到：'WST0029:STS 位置无法从 IssuedToken 或客户端配置获取以访问服务http://localhost:8080/ ....'

就在那时，我突然意识到我对 WSS 一无所知。看起来没有生成任何代码来处理安全问题。所以，我将不得不从头开始。那么从哪里开始呢？图书？教程？

TIA

WS-Security 协议是否需要 SSL 来加密消息和使用证书对客户端进行身份验证，或者 WS-Security 协议是否独立于 SSL，因此它不使用 SSL 来执行加密和证书身份验证？

谢谢你

我需要编写一个 Web 服务客户端来调用第三方 Web 服务（基于 SOAP）。第三方发布了 wsdl 和相关的 xsd 文件。

第三方使用 .p12 证书保护他们的网站和服务

我使用 wsdl2java 来生成我的存根。我修改了端点并调用了服务。我收到以下错误：

嗯，好的。我应该签署文件是有道理的。

奇怪的部分（对我来说）是 WSDL 文件中的任何地方都没有安全定义。这是正常的吗？我联系了第三方，他们给我发了一份关于 SOAP 消息需要是什么样子的 pdf。标题中出现以下标签： 包含：

和

所以从我收集的信息来看，它需要我的证书和一些数字签名。

有人可以推荐如何在 Java 中生成这些吗？我从 Axis2/Rampart 路径开始，但老实说，似乎这些都是基于 WSDL 文件中定义的安全要求（如果我错了，请纠正我）。

我正在使用 .NET 客户端连接到 AXIS Web 服务，作为其中的一部分，我正在尝试实现所有必需的安全标头。我的开发环境是VS2005，我使用的是C#。

我首先下载了soapUI并生成了所有必需的安全标头并开始发送消息，这很有效。所以我知道我需要做什么（签署消息，将其放入wsse:Security标题中，加密正文并将其发送出去）

所以认为这很简单，我已经从 Microsoft 下载了 WSE3.0 并将其包含在我的项目中。现在它正在生成一些东西，但不是我想要的安全标头。具体来说，我需要删除 Web 服务寻址标头（wsa:From、wsa:ReplyTo、wsa:Action）和时间戳（wsu:Timestamp），但我无法在 wse3policycache.config 文件中找到任何特定的配置设置删除它们。

我的axis2+rampart 客户端与一些WS-Secured 服务器一起工作。服务器升级后它停止工作（JBoss 升级，WSDL 中的一些更改，但测试功能中没有）。服务器所有者声称他们的 WS-Security 配置没有更改，但现在我的客户报告：

早些时候，当“项目”的顺序axis2.xml不好时，我得到了这个例外。我所要做的就是将这些项目组合起来。他们看起来像：

现在这个问题又出现了。我看到答复中没有“时间戳”。我从项目中删除了它，但没有任何改变。

回复看起来像：

我的问题：

1. 我怎么知道安全的哪一部分真的失败了？是错误的顺序、缺少某些元素、某些额外的元素还是类似的错误？
2. 如果我只有签名和加密的回复，我怎么能猜出我应该将哪些项目添加到壁垒 InflowSecurity 配置中？有没有办法知道我应该使用什么顺序？

我正在尝试使用 WCF 客户端通过 https 调用基于 Java、启用 WS-Security 的 Web 服务，但似乎无法正确配置安全性。使用 SvcTraceViewer，我没有看到我尝试过的任何安全配置的预期安全标头。

我最近的安全配置是：

我在这样的代码中设置用户名/密码：

Java Web 服务需要这样的安全标头：

我根本看不到安全标头。

我在网上阅读了很多关于传输与消息级安全和安全模式的信息，但似乎找不到合适的选项集。我应该如何配置我的绑定

• https 通讯
• SOAP 标头中的用户名/密码，纯文本 (WS-Security)
• 需要时间戳
• 需要随机数

我正在使用带有 x509 证书的 SOAP 消息处理 iPhone 客户端。而且我不知道如何使用 x509 证书 (client.cert) 签署消息。

有关于使用 openssl 的线程讨论，但我不知道如何使用 openssl，所以我正在查看 Apple 文档：http: //developer.apple.com/library/mac/#documentation/Security/Conceptual/CertKeyTrustProgGuide/iPhone_Tasks /iPhone_Tasks.html 在上述文档中，有获取策略引用对象和评估信任的示例代码：

但是没有使用策略对象对消息进行签名的示例。你有什么线索吗？如果您对此有任何想法或经验，请帮助我。我真的很感谢你的帮助。

提前致谢。

您如何保护您的 Intranet Web 服务？在我们公司，我们一直在讨论保护我们的 Web 服务所需的安全级别。

• 消息加密
• HTTPS (TLS)
• 两个都？

制作高度安全的 Web 服务是否有用，因为它很难实现它们而没人使用？

您对我有任何经验或一些资源（链接/白皮书）吗？

谢谢你的帮助！

我无法理解以下内容：WS-Security 和 https 作为替代方案。
https 的问题（如前所述）是在客户端和服务器之间存在中介，即代理。
然后我们可以围绕并保证点对点的安全性，例如在代理和服务器之间但不是端到端的。
所以我们可以有：

客户端 <--(安全)--> 代理 <--(安全)--> 服务器

但这不等于

那么为什么不保证端到端呢？有人可以举一个具体的例子吗？
另外，如果在我的网络中我没有任何代理，这是否意味着 https 可以？
反之亦然，如果我有代理我必须使用 WS-Security 代替？
谢谢

我想从 .net c# 客户端使用 CXF Web 服务。我们目前正在处理 java-to-java 请求，我们通过 ws-security（WSS4J 库）保护 SOAP 信封。

我的问题是：如何实现一个 C# WS 客户端，它产生与以下客户端 java 代码相同的 SOAP 请求？

有人知道我在哪里可以找到 microsoft how-to 或 .net 工作示例吗？

================================= 编辑================= ====================

谢谢拉迪斯拉夫！我应用了你的建议，我想出了类似的东西：

结果，我得到（服务器端）以下 CXF 异常：

因此，这似乎是一个关键的 jks->pem 转换问题......或者我在上面的客户端代码中遗漏了什么？