【導(dǎo)讀】don'ttry.

　　

【正文】 滿足這類需求您所要做的是 不要 指定一個(gè)不同的規(guī)范化算法（比如 sp:InclusiveC14N）。 BSP 也 添 加 了 一 些 其 他 需 求 用 于 簽 名 和 加 密 ， 約 束 WSSecurityProfile 中定義的算法套件值，但本質(zhì)上只限制那些使用 TripleDes、 Aes128 或 Aes256 加密和 SHA1 摘要（不包括 WSSecurityPolicy 提供的 Aes192 加密和 SHA256 摘要）的選項(xiàng)。其他 BPS 建議限制各種 安全令牌的引用和使用方法。 毋庸置疑， WSI BSP 對(duì)跨 web 服務(wù)安全性實(shí)現(xiàn)的互操作性做出了貢獻(xiàn)，年級(jí) 2021 級(jí) 專業(yè) 軟件工程 學(xué)號(hào) 312021080611322 姓名 周進(jìn) 12 但是也有一些小問題，它未采取措施來減少安全配置選項(xiàng)的復(fù)雜性。 BSP 的一個(gè)更新版，更具體地說是面向 WSSecurityPolicy 配置的更新版，對(duì)于使用現(xiàn)代基于策略的配置構(gòu)建安全性架構(gòu)的最佳實(shí)踐很有幫助，但很遺憾， WSI 對(duì)這類更新并不感興趣。 互操作性測(cè)試 供應(yīng)商驅(qū)動(dòng)的跨棧互操作性測(cè)試成為提高 web 服務(wù)安全性實(shí)現(xiàn)的一個(gè)很重要的因素。 Microsoft174。 已經(jīng)成為這個(gè)領(lǐng)域的推動(dòng)力，在大學(xué)校園 里舉辦一系列 “ 互操作性接插集會(huì)（ plugfests） ” ，邀請(qǐng)其他 web 服務(wù)棧（包括商業(yè)的和開源的）的開發(fā)人員來參與測(cè)試他們代碼和 Microsoft 實(shí)現(xiàn)之間的各種場(chǎng)景（見 參考資料 ）。安全性已經(jīng)成為接插集會(huì)主要關(guān)注的焦點(diǎn)。 這個(gè)互操作性測(cè)試有助于在各個(gè)棧之間建立基本水平的兼容性，但是收效甚微，因?yàn)橹挥猩倭颗渲帽粶y(cè)試。 盡管通過 Microsoft 實(shí)現(xiàn)（而不是一個(gè)基于實(shí)際標(biāo)準(zhǔn)的測(cè)試套件）關(guān)注互操作性有一定的局限性，但是實(shí)際上，比起十幾個(gè)棧之間的完全交叉兼容性測(cè)試，這是很容易處理的。 安全性問題和局限性 在這個(gè)系列專欄中，我在 3 個(gè) web 棧中測(cè)試了各種安全性配置，對(duì)于每個(gè)棧都找到了幾個(gè)問題。有限的互操作性測(cè)試（每個(gè)客戶端使用一個(gè)棧，服務(wù)器使用另一個(gè)，只嘗試 WSSecureConversation 測(cè)試）會(huì)顯示更多的問題。就拿棧 Apache Axis2 來說，我也發(fā)現(xiàn)了重大的性能問題。所有這些問題已經(jīng)報(bào)告給各個(gè)棧 的開發(fā)人員了，其中一些在新版本中已經(jīng)得到修復(fù)了。在這一小節(jié)，我將從我為這些文章所作的測(cè)試方面，總結(jié) 3 個(gè)棧的目前狀態(tài)。 Axis2 問題 我在 Axis2 中發(fā)現(xiàn)的問題包括 WSSecureConversation 策略處理，其中引導(dǎo)程序策略定義在運(yùn)行過程中似乎被完全忽略了。這意味著 Axis2 為其 WSSecureConversation 支持使用千篇一律的配置，它只與其他使用相同配置的?？杉嫒荨? 就安全性運(yùn)行時(shí)而言， Axis2 一個(gè)主要問題是對(duì)稱捆綁的客戶端處理（正如在 “ 不使用客戶端證書的 WSSecurity” 一文中所討論的）。當(dāng)發(fā)出更多的請(qǐng)求時(shí)，客戶端運(yùn)行逐漸減慢。我認(rèn)為這是一個(gè)很難的 bug，而不是一個(gè)性能問題，因?yàn)閱栴}有不斷發(fā)展的天性。 在任何時(shí)候只要使用安全性，操作就會(huì)逐步減慢（參見 “ CXF 性能比較 ” 年級(jí) 2021 級(jí) 專業(yè) 軟件工程 學(xué)號(hào) 312021080611322 姓名 周進(jìn) 13 尋找原因 ）， Axis2 安全性處理也深受其苦。這個(gè)性能問題似乎源自 Axis2 所用的 AXIOM 對(duì)象模型和安全性代碼所用的標(biāo)準(zhǔn) DOM 的不兼容性，因此問題可能會(huì)延續(xù)，除非增強(qiáng) AXIOM 來提供完整的 DOM 兼容性。 最后，在我看來， Axis2 可能會(huì)遭遇核心 web 服務(wù)引擎（實(shí)際是 Axis2 代碼）與安全性代碼（ Rampart 和 Rahas 安全模塊）的分離。早在我們（ Axis2 提交者）決定將安全性代碼從核心代碼分離出來時(shí)，就允許這些組件各自增強(qiáng)和發(fā)布。不幸的 是，這導(dǎo)致安全性代碼被當(dāng)作一個(gè)可選組件，而且 Axis2 版本并不與當(dāng)時(shí)的 Rampart 版本一起使用。近來的 Axis2 版本就是一個(gè)例子：二進(jìn)制發(fā)布版缺失一個(gè)安全性處理所必需的 JAR 文件，因此沒有一種簡(jiǎn)單的方法能使它同 Rampart 一起工作。這在目前 Axis2 版本中更正了，但一個(gè)官方版本在不能運(yùn)行安全性支持的情況下可以交付的事實(shí)就證明了它們的分離。 寫這篇文章時(shí)，我所發(fā)現(xiàn)的重大 Axis2 問題在最新的 Axis2 和 Rampart 中都沒有更正。 Metro 問 題 本系列本章的測(cè)試也發(fā)現(xiàn)了 Metro 中幾個(gè)重要的問題。最大的問題是 Metro 對(duì)簽署消息體的處理 如果策略包括一個(gè) OnlySignEntireHeadersAndBody斷言，一切都很好，但是如果這個(gè)斷言 不能 使用 ， Metro 將錯(cuò)誤地簽署正文內(nèi)容，而不是 body 元素本身。處理正確簽名的棧將拒絕 Metro 以這種方式簽署的消息。 Metro 也摒棄了 “ WSTrust 和 WSSecureConversation” 中使用的 WSSecureConversation 策略。在這種情況下問題是，對(duì)于與 Security Token Service (STS) 的引導(dǎo)程序消息交換和與服務(wù)的實(shí)際會(huì)話，策略使用不同的算法套件。 Metro 忽略了這個(gè)，為它們倆只使用一個(gè)算法套件。這個(gè)問題不像簽名問題那么嚴(yán)重，這是因?yàn)閷?shí)踐中很少有機(jī)會(huì)使用兩個(gè)不同的算法套件，但它依舊是一個(gè)錯(cuò)誤。 最后， Metro 也有關(guān)于使用單向加密或者 “ 理解 WSPolicy” 中報(bào)告的簽名技術(shù)方面的問題。這些問題在最新 Metro 版本中還沒有更正。 CXF 問題 和其他棧一樣，我在對(duì)這些文章進(jìn)行測(cè)試時(shí)，也發(fā)現(xiàn)了一些 CXF 問題。在本文發(fā)布之前，幾乎每一個(gè)案例中的問題都已經(jīng)在最新 CXF 版本中更正了。惟一例外的是關(guān)于使用單向加密或 “ 理解 WSPolicy” 中報(bào)告的簽名技術(shù)方面年級(jí) 2021 級(jí) 專業(yè) 軟件工程 學(xué)號(hào) 312021080611322 姓名 周進(jìn) 14 的問題 — 這也在 CXF 中更正了。 棧的比較 任何根據(jù)安全性支持對(duì) web 服務(wù)棧的排序都是非常主觀的。因?yàn)槊總€(gè)棧都有自己的優(yōu)勢(shì)和劣勢(shì)。為了進(jìn)行一個(gè)公允的評(píng)估，我將從 4 個(gè)方面進(jìn)行排名，并為每個(gè)棧分配一個(gè) 1（最壞）到 10（最好）的數(shù)值分： ? 正確性：多少實(shí)現(xiàn)錯(cuò)誤已知，這些錯(cuò)誤的嚴(yán)重程度？ ? 完整性：安全實(shí)現(xiàn)的完整程度？ ? 性能：安全性處理會(huì)增加多少開銷？ ? 可用性：配置安全性代碼有多容易？ 正確性 Axis2 有很多重大的問題，核心代碼和 Rampart 安全性模塊的分離是最為關(guān)注的一個(gè)問題，不過總的來說是比較可靠的。得分： Axis2 — 6。 Metro 有一些重大問題，特別是當(dāng)在沒有 OnlySignEntireHeadersAndBody的情況下使用時(shí)，不能正確處理簽名。盡管和 Axis2 一樣， Metro 通常是比較可靠的，但是將安全性代碼集成到主要版本，比起使用 Axis2 發(fā)生故障的幾率小一點(diǎn)。得分： Metro — 7。 CXF 只有相對(duì)較少的已知問題，對(duì)問題的快速反應(yīng)以及較短的發(fā)布周期意味著，問題一旦發(fā)現(xiàn)則會(huì)得到及時(shí)更正。得分： CXF — 8。 公平地說在這一點(diǎn)上，我只考慮在這些文章中直接遇到的問題。查看棧的 bug 跟蹤系統(tǒng)將展示其他（可能更重要的）問題?？吹竭@些時(shí) — 報(bào)告的一些問題可能由用戶錯(cuò)誤引起 — 您必須小心的使用，但是如果您考慮標(biāo)準(zhǔn)化一個(gè)特定棧，這也是有價(jià)值的。參見 參考資料 獲取更多關(guān)于這 3 個(gè)棧的 bug 跟蹤系統(tǒng)的信息 。 完整性 這 3 個(gè)棧都對(duì)所有主要安全性標(biāo)準(zhǔn)提供支持。然而， Axis2 至少在 2 個(gè)方面是有限制的。對(duì)于 WSPolicy， Axis2 代碼生成只適用于 2021 年的舊版本，而不適用 2021 年發(fā)布的標(biāo)準(zhǔn) W3C 版本。對(duì)于 WSSecureConversation， Axis2 執(zhí)行一個(gè) “ 千篇一律 ” 的配置，忽略了您提供的任何策略配置。 得分：Axis2 — 6； Metro — 7； CXF — 7。 年級(jí) 2021 級(jí) 專業(yè) 軟件工程 學(xué)號(hào) 312021080611322 姓名 周進(jìn) 15 性能 談到安全性能排名時(shí)， Axis2 無疑是失敗者。就每個(gè)消息級(jí)別安全性處理而言，它比 Metro 或 CXF 需要更多的處理開銷。 Metro 整體上比 CXF 快一些，因此，對(duì)于這一因素，我的分值是： Axis2 — 4； Metro — 8； CXF — 7。 可用性 Axis2 的安全配置是有點(diǎn)令人不快。在客戶端，它需要您將運(yùn)行時(shí)參數(shù)嵌入服務(wù) WSDL，或者直接在您的客戶端代碼中進(jìn)行配置。不管哪種方法，實(shí)際上您必須在您的客戶端代碼中激活安全性處理。在服務(wù)器端，您必須修改生成的 文件來包含運(yùn)行時(shí)參數(shù)或者激活安全性處理。 Axis2 常常也會(huì)無聲無息地忽略在策略配置中它所不能理解的。得分： Axis2 — 5。 使用 Metro 可能比 Axis2 更容易一點(diǎn)，但它總是需要您將您的運(yùn)行時(shí)參數(shù)添加到服務(wù) WSDL 中（或者至少在客戶端引用一個(gè)定義參數(shù)的獨(dú)立文檔）。我認(rèn)為這是不合適的，因?yàn)? WSDL 應(yīng)該表示公布的服務(wù)合約。 Metro 也提供少量關(guān)于配置和使用 NetBeans/Glassfish 包之外的安全性特性的文檔。最后，以我的經(jīng)驗(yàn)，當(dāng)有一個(gè)配置問題時(shí)，您捕獲的錯(cuò)誤消息往往是模糊 不清的，而追蹤原因也很困難。得分： Metro — 6。 CXF 有最整潔的配置方法，對(duì)于運(yùn)行時(shí)安全性參數(shù)，客戶端和服務(wù)器端通常使用獨(dú)立的文件。您也可以選擇直接使用 Spring，或者在您的代碼中進(jìn)行任何配置。除了這些基本的配置問題之外。 CXF 也在 WSDL 中支持外部策略引用，對(duì)于那些想跨平臺(tái)標(biāo)準(zhǔn)化安全性策略的組織，這是一個(gè)重要的特性。最后，對(duì)于不支持的策略組件， CXF 似乎有最佳的處理，生成警告消息讓您知道策略不能完全支持。得分： CXF — 8。 表 1 總結(jié)了我的排名： 表 1. Web 服務(wù)棧排名 Apache Axis2 Sun/Oracle Metro Apache CXF 正確性 6 7 8 完整性 6 7 7 性能 4 8 7 可用性 5 6 8 年級(jí) 2021 級(jí) 專業(yè) 軟件工程 學(xué)號(hào) 312021080611322 姓名 周進(jìn) 16 總計(jì) 21 28 30 這些排名并不是權(quán)威的，因此，如果您要使用它們創(chuàng)建您自己的棧，務(wù)必要檢查我的理由，并做出自己的判斷。此外，這個(gè)排名只適用于基礎(chǔ)的開源項(xiàng)目；基于開源版本的商業(yè)棧應(yīng)該使用它們自己的安全性代碼和其他擴(kuò)展。您需要查看商業(yè)代碼和開源代碼庫(kù)之間的不同，看看哪部分排名可以應(yīng)用。 總結(jié) 本系列中介紹的這 3 個(gè)開源 web 服務(wù) 棧到目前為止都為安全特性提供較好的支持。在安全性方面每個(gè)棧都有自己的優(yōu)勢(shì)和劣勢(shì)，在本文中，根據(jù)我在最近的十幾篇文章中使用這 3 個(gè)棧的經(jīng)驗(yàn)，為您概括介紹了它們之間的區(qū)別。 本系列的下一期文章將采取另一種方法，研究 WSDL 服務(wù)定義的結(jié)構(gòu)，并開發(fā)一個(gè)工具來驗(yàn)證 WSDL 并將它們轉(zhuǎn)換成推薦的最佳實(shí)踐格式。 —— 出自 IBM 文檔庫(kù)