WS安全机制之间的区别

Question

通过修改web.xml/ejb-jar.xml与使用WS-Policy修改WSDL,在SSL上实现SOAP消息之间有什么优势？

我们的项目可以实现其目标,即通过添加传输保证让我们的客户(我们自己)通过安全连接访问Web服务,但我们不确定这是否是完整/正确的解决方案.

Answer 1

通过 SSL，您可以在客户端和服务之间获得点对点加密。如果该服务不是消息的最终接收者，而是将此消息路由到另一个服务的代理，则两个服务之间没有加密，或者也必须进行配置。

通过 WS-Policy 配置的 WS-Security 有可能在客户端和消息的最终接收者之间提供端到端加密，因为您可以加密消息正文。您不需要为每对通信实体配置 SSL。每个代理都可以按照标头中的定义路由消息。

也就是说，如果您不需要端到端保证，但点对点就足够了（据我所知，这是您的场景），我会说使用 SSL 是一个公平的选择。

另一件需要考虑的事情是客户端和服务的 WS-Security 实现需要能够互操作。SSL 通常相当成熟，但我个人的经验是 WS-Security 实现还不够成熟。因此，如果客户端和服务器有不同的 WS-* 堆栈，则可能需要进行一些黑客攻击和反复试验才能找到适用于两者的策略配置。