AI导航网
微信公众号搜"智元新知"关注
微信扫一扫可直接关注哦！

webservice的安全机制1---users.lst

分类：WebService作者：编程之家
1.引言
俗话说，安全第一；

那么，我们软件中是否有安全，安全是否重要呢？

sure，软件开发中当然也有安全，安全显得尤为重要。

本节，我们将一起来看看webservice的安全问题。

之前在前几节中写了webservice开发相关的知识，接下来几节我会写webservice安全相关的问题。

闲扯一点，

本来这部分在上个月就准备写的，但是确实是太忙了，每天加班，晚上回到家都快十一点了，偶尔还要通宵去上线，周末还要去奋战一天，实在是没那个精力，乘着今天下班早点，就来写写了，写博客也是我喜欢的事情嘛。



2.webservice安全机制分类
首先声明，这里的分类不一定准确，只是我站在目前的高度，对能了解到的，能想到的做一个简单的分类；再者，这里的分类都是站在代码的角度来写的，至于你说的防火墙、DMZ....这些都不在我的考虑范围之内。

(1)对webservice发布的方法，方法名称和参数不要使用望文生义的描述；

(2)对webservice发布的方法，在入参中增加一个或多个字符串序列；

这里的字符串可以要求必须满足指定的格式，同时字符串可以再通过客户端传参数的时候加密，服务端解密；

(3)对webservice发布的方法，入参中加上用户名和密码，然后服务端通过数据库校验；

(4)对webservice发布的方法，通过handler/chain方式来实现验证(用户名&密码校验/IP地址校验等)；

(5)对webservice发布的方法，采用webservice的users.lst来进行验证；

(6)对webservice发布的服务，通过servlet的Filter来实现验证；

(7)对webservice传输过程中的数据进行加密；

(8)自己写校验框架来实现webservice的安全；

(9)其它方式......

各位大虾，认为还有哪些比较好的方式，欢迎指出。



3.webservice安全实现
既然webservice的安全方式有那么多种，那么具体是怎么实现的呢？

接下来几节，我会介绍webservice采用users.lst、chain、Filter实现webservice的方式；本节，就来介绍一下最简单的，采用webservice自带的users.lst的方式。

3.1开发一个基本的webservice


(1)服务端代码：

HelloServiceImpl.java

 package server.service;
 
 public class HelloServiceImpl {
 
     public String hello(String s) {
         System.out.println("我是服务端......");
         System.out.println("方法的入参为："+s);
         return "hello," + s;
     }
 }
(2)服务端wsdd文件的配置

server-config.wsdd 

<?xml version="1.0" encoding="UTF-8"?>
<deployment xmlns="http://xml.apache.org/axis/wsdd/"
    xmlns:java="http://xml.apache.org/axis/wsdd/providers/java">
    <globalConfiguration>
        <parameter name="sendMultiRefs" value="true" />
        <parameter name="disablePrettyXML" value="true" />
        <parameter name="adminPassword" value="admin" />
        <parameter name="attachments.Directory"
            value="D:\tomcat5\webapps\WebService\WEB-INF\attachments" />
        <parameter name="dotNetSoapEncFix" value="true" />
        <parameter name="enableNamespacePrefixOptimization"
            value="false" />
        <parameter name="sendXMLDeclaration" value="true" />
        <parameter name="sendxsitypes" value="true" />
        <parameter name="attachments.implementation"
            value="org.apache.axis.attachments.AttachmentsImpl" />
        <requestFlow>
            <handler type="java:org.apache.axis.handlers.JWSHandler">
                <parameter name="scope" value="session" />
            </handler>
            <handler type="java:org.apache.axis.handlers.JWSHandler">
                <parameter name="scope" value="request" />
                <parameter name="extension" value=".jwr" />
            </handler>
        </requestFlow>
    </globalConfiguration>
    <handler name="LocalResponder"
        type="java:org.apache.axis.transport.local.LocalResponder" />
    <handler name="URLMapper"
        type="java:org.apache.axis.handlers.http.URLMapper" />
    <handler name="Authenticate"
        type="java:org.apache.axis.handlers.SimpleAuthenticationHandler" />
    <service name="AdminService" provider="java:MSG">
        <parameter name="allowedMethods" value="AdminService" />
        <parameter name="enableRemoteAdmin" value="false" />
        <parameter name="className" value="org.apache.axis.utils.Admin" />
        <namespace>http://xml.apache.org/axis/wsdd/</namespace>
    </service>
    <service name="Version" provider="java:RPC">
        <parameter name="allowedMethods" value="getVersion" />
        <parameter name="className" value="org.apache.axis.Version" />
    </service>

    <transport name="http">
        <requestFlow>
            <handler type="URLMapper" />
            <handler
                type="java:org.apache.axis.handlers.http.HTTPAuthHandler" />
        </requestFlow>
        <parameter name="qs:list"
            value="org.apache.axis.transport.http.QSListHandler" />
        <parameter name="qs:wsdl"
            value="org.apache.axis.transport.http.QSWSDLHandler" />
        <parameter name="qs.list"
            value="org.apache.axis.transport.http.QSListHandler" />
        <parameter name="qs.method"
            value="org.apache.axis.transport.http.QSMethodHandler" />
        <parameter name="qs:method"
            value="org.apache.axis.transport.http.QSMethodHandler" />
        <parameter name="qs.wsdl"
            value="org.apache.axis.transport.http.QSWSDLHandler" />
    </transport>
    <transport name="local">
        <responseFlow>
            <handler type="LocalResponder" />
        </responseFlow>
    </transport>

    <!-- 配置自己的服务 -->
    <service name="HelloService" provider="java:RPC">
        <parameter name="allowedMethods" value="*" />
        <parameter name="className"
            value="server.service.HelloServiceImpl" />
    </service>

</deployment>
(3)客户端代码

Test.java 

 package client;
 
 import java.net.URL;
 
 import javax.xml.rpc.ParameterMode;
 
 import org.apache.axis.client.Call;
 import org.apache.axis.encoding.XMLType;
 
 public class Test {
 
     public static void main(String args[]) throws Exception {
         webservice_user();
     }
 
     public static void webservice_user() throws Exception {
 
         // 1.创建service对象，通过axis自带的类创建
         org.apache.axis.client.Service service = new org.apache.axis.client.Service();
 
         // 2.创建url对象
         String wsdlUrl = "http://localhost:8080/WebService06_Security/services/HelloService?wsdl";// 请求服务的URL
         URL url = new URL(wsdlUrl);// 通过URL类的构造方法传入wsdlURL地址创建URL对象
 
         // 2.创建服务方法的调用者对象call，设置call对象的属性
         Call call = (Call) service.createCall();
         call.setTargetEndpointAddress(url);// 给call对象设置请求的URL属性
         String serviceName = "hello";// webservice的方法名
         call.setoperationName(serviceName);// 给call对象设置调用方法名属性
         call.addParameter("s",XMLType.XSD_STRING,ParameterMode.IN);// 给call对象设置方法的参数名、参数类型、参数模式
         call.setReturnType(XMLType.soAP_STRING);// 设置调用方法的返回值类型
         //         call.setTimeout(new Integer(200));//设置超时限制
 
         // 4.通过invoke方法调用webservice
         String str = new String("pantp");
         String dept = (String) call.invoke(new Object[] { str });// 调用服务方法
 
         // 5.打印返回结果
         System.out.println("我是客户端.......");
         System.out.println(dept);
     }
 
 }

3.2测试开发的webservice
启动tomcat，发布工程。

在浏览器中输入wsdl地址，运行结果图如下：

运行Test.java类：

   (1)客户端日志

   

   (2)服务端日志

   

 

3.3加上users.lst的验证

   (1)增加users.lst文件

   在工程的WEB-INF目录下新建文件users.lst，文件内容如下：

 

说明： 每一行表示一组用户名和密码，用户名和密码之前用空格隔开，第一个为用户名，第二个为密码；

   (2)在 server-config.wsdd文件中增加验证的配置

    修改后完整的文件如下：

 <?xml version="1.0" encoding="UTF-8"?>
 <deployment xmlns="http://xml.apache.org/axis/wsdd/"
     xmlns:java="http://xml.apache.org/axis/wsdd/providers/java">
     <globalConfiguration>
         <parameter name="sendMultiRefs" value="true" />
         <parameter name="disablePrettyXML" value="true" />
         <parameter name="adminPassword" value="admin" />
         <parameter name="attachments.Directory"
             value="D:\tomcat5\webapps\WebService\WEB-INF\attachments" />
         <parameter name="dotNetSoapEncFix" value="true" />
         <parameter name="enableNamespacePrefixOptimization"
             value="false" />
         <parameter name="sendXMLDeclaration" value="true" />
         <parameter name="sendxsitypes" value="true" />
         <parameter name="attachments.implementation"
             value="org.apache.axis.attachments.AttachmentsImpl" />
         <requestFlow>
             <handler type="java:org.apache.axis.handlers.JWSHandler">
                 <parameter name="scope" value="session" />
             </handler>
             <handler type="java:org.apache.axis.handlers.JWSHandler">
                 <parameter name="scope" value="request" />
                 <parameter name="extension" value=".jwr" />
             </handler>
         </requestFlow>
     </globalConfiguration>
     <handler name="LocalResponder"
         type="java:org.apache.axis.transport.local.LocalResponder" />
     <handler name="URLMapper"
         type="java:org.apache.axis.handlers.http.URLMapper" />
     <handler name="Authenticate"
         type="java:org.apache.axis.handlers.SimpleAuthenticationHandler" />
     <service name="AdminService" provider="java:MSG">
         <parameter name="allowedMethods" value="AdminService" />
         <parameter name="enableRemoteAdmin" value="false" />
         <parameter name="className" value="org.apache.axis.utils.Admin" />
         <namespace>http://xml.apache.org/axis/wsdd/</namespace>
     </service>
     <service name="Version" provider="java:RPC">
         <parameter name="allowedMethods" value="getVersion" />
         <parameter name="className" value="org.apache.axis.Version" />
     </service>
 
     <transport name="http">
         <requestFlow>
             <handler type="URLMapper" />
             <handler
                 type="java:org.apache.axis.handlers.http.HTTPAuthHandler" />
         </requestFlow>
         <parameter name="qs:list"
             value="org.apache.axis.transport.http.QSListHandler" />
         <parameter name="qs:wsdl"
             value="org.apache.axis.transport.http.QSWSDLHandler" />
         <parameter name="qs.list"
             value="org.apache.axis.transport.http.QSListHandler" />
         <parameter name="qs.method"
             value="org.apache.axis.transport.http.QSMethodHandler" />
         <parameter name="qs:method"
             value="org.apache.axis.transport.http.QSMethodHandler" />
         <parameter name="qs.wsdl"
             value="org.apache.axis.transport.http.QSWSDLHandler" />
     </transport>
     <transport name="local">
         <responseFlow>
             <handler type="LocalResponder" />
         </responseFlow>
     </transport>
 
     <!-- 配置自己的服务 -->
     <service name="HelloService" provider="java:RPC">
         <parameter name="allowedMethods" value="*" />
         <parameter name="className"
             value="server.service.HelloServiceImpl" />
 
         <!-- ===================采用webservice的users.lst的安全机制增加的配置部分 -->
         <!-- 采用axis默认的handler来进行访问权限的控制 -->
         <requestFlow>
             <handler name="SimpleAuthenticationHandler"
                 type="java:org.apache.axis.handlers.SimpleAuthenticationHandler" />
         </requestFlow>
         <!-- ===================采用webservice的users.lst的安全机制增加的配置部分 -->
 
     </service>
 
 </deployment>

(3)在客户端请求代码中加入用户名和密码

添加用户名和密码后完整的文件如下：

Test.java

 package client;
 
 import java.net.URL;
 
 import javax.xml.rpc.ParameterMode;
 
 import org.apache.axis.client.Call;
 import org.apache.axis.encoding.XMLType;
 
 public class Test {
 
     public static void main(String args[]) throws Exception {
         webservice_user();
     }
 
     public static void webservice_user() throws Exception {
 
         // 1.创建service对象，通过axis自带的类创建
         org.apache.axis.client.Service service = new org.apache.axis.client.Service();
 
         // 2.创建url对象
         String wsdlUrl = "http://localhost:8080/WebService06_Security/services/HelloService?wsdl";// 请求服务的URL
         URL url = new URL(wsdlUrl);// 通过URL类的构造方法传入wsdlURL地址创建URL对象
 
         // 2.创建服务方法的调用者对象call，设置call对象的属性
         Call call = (Call) service.createCall();
         call.setTargetEndpointAddress(url);// 给call对象设置请求的URL属性
         String serviceName = "hello";// webservice的方法名
         call.setoperationName(serviceName);// 给call对象设置调用方法名属性
         call.addParameter("s",ParameterMode.IN);// 给call对象设置方法的参数名、参数类型、参数模式
         call.setReturnType(XMLType.soAP_STRING);// 设置调用方法的返回值类型
         //         call.setTimeout(new Integer(200));//设置超时限制
 
         //-----------------------------采用webservice的users.lst的安全机制增加的-------------------------------------
         //此处的用户名和密码对应WEB-INF目录下users.lst文件中的用户名和密码
         call.getMessageContext().setUsername("pantp");
         call.getMessageContext().setPassword("123456");
         //-----------------------------采用webservice的users.lst的安全机制增加的-------------------------------------
 
         // 4.通过invoke方法调用webservice
         String str = new String("pantp");
         String dept = (String) call.invoke(new Object[] { str });// 调用服务方法
 
         // 5.打印返回结果
         System.out.println("我是客户端.......");
         System.out.println(dept);
     }
 
 }

3.4测试webservice通过users.lst实现的安全机制

(1)输入正确的用户名和密码

   客户端日志：

   

   服务端日志：

   

(2)输入错误的用户名或密码

    客户端日志：

    

    服务端日志：

    后台没有任何日志输出；

 

 总结：

开发通过webservice自带的验证机制实现步骤如下：

1.先不考虑安全机制的问题，开发一个需要的webservice服务和客户端，并测试通过；

2.在WEB-INF目录下新建一个文件users.lst，文件名必须一模一样，然后在文件中加入允许的用户名和密码；

3.在wsdd配置文件中对应的服务中加入SimpleAuthenticationHandler的配置；

4.在客户端访问时增加用户名和密码的设置；

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 [email protected] 举报，一经查实，本站将立刻删除。

相关推荐

WebService学习(十三)——调用webservice的方式其他方式
1.使用ajax调用varxhr;functioninvoke(){if(window.ActiveXObject){xhr=newActiveXObject("Microsoft.XMLHTTP");}else{xhr=newXMLHttpRequest();}//指定请求地址varurl="http://127.0.0.1:7777/hello...
如何用IDEA一步一步开发WebService客户端程序
               好不容易把WebService服务器端搭建起来，我们还需要客户端程序也同样跑起来才能够进行和服务器端程序的通信： 在这篇文章里面，我会先自己写代码去实现调用WebService服务器端程序，...
Java WebService之入门
1新建一个工程项目用来做服务端增加一个MyService1类文件packagecom.zns.ws;importjavax.jws.WebMethod;importjavax.jws.WebService;importjavax.xml.ws.Endpoint;@WebServicepublicclassMyService1{publicstaticvoi...
WebService方法进行接口连接
packagecom.transsion.util;importjava.io.BufferedReader;importjava.io.IOException;importjava.io.InputStreamReader;importjava.io.PrintWriter;importjava.net.URL;importjava.net.URLConnection;importcom.ali...
.net的webservice中内外网端口不一致导致无法调用的解决方案
再生产wsdl文件时重写描述文件1usingSystem;2usingSystem.Collections.Generic;3usingSystem.Linq;4usingSystem.Web;5usingSystem.Web.Services.Description;67namespaceStrongSoftManage.Web.App8{9publicclassSoap...
Jax-ws 开发webService ，并使用spring注入service类中遇到 空指针
一般情况下，使用eclipse自带的jax-ws生成webservice会自动生成2个类：ContractConnector.java packagecom.wonders.webservice.contract;importjava.text.DecimalFormat;importjava.text.ParseException;importjava...
WebService学习笔记
一、WebService概述1.1什么是WebService 基于Web的服务：服务器端整出一些资源让客户端应用访问（获取数据） 一个跨语言、跨平台的规范（抽象）所谓跨编程语言和跨操作平台，就是说服务端程序采用java编写，客户端...
WebService学习(十二)——cxf使用案例调用天气
一、什么是CXF?    ApacheCXF=Celtix+Xfire，开始叫ApacheCeltiXfire，后来更名为ApacheCXF了，以下简称为CXF。ApacheCXF是一个开源的webServices框架，CXF帮助您构建和开发webServices，它支持多种协议，比如：...
SpringBoot学习记一第一个SpringBoot Web服务
工具IDEA一、构建项目1、选择SpringInitializr2、填写项目信息3、勾选webService4、勾选Thymeleaf5、项目建立完成，启动类自动生成二、写个Controller启动服务。浏览器访问/hello接口。 
vs2010 c#调用webservice服务
1.环境win764位，vs20102.新建一个asp.netweb应用程序(同上一篇)3.添加一个web引用，引用上一篇创建的服务。注意不是服务引用。如下图 
    pythonJavaScriptjavaHTMLreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-bootreact-native