兑现Axis webservice 签名

实现Axis webservice 签名
签名的目的是为了防止信息在传输过程中被纂改，这样可以防止用户死不认账的情况发生。签名和验签的过程如下：
一（双向签名）客户端签完名之后发送文档给服务器端，服务器端验证客户端的签名后，处理文档后再用自己的证书对返回信息签名，发送给客户端。客户端验证服务器端的签名，然后处理返回结果。

二（单向签名）客户端签完名之后发送文档给服务器端，服务器端验证客户端的签名，处理文档，并返回结果给客户端。

下面我们看个webservice单向签名实现：

我用axis1.4实现了一个webservice服务。假定webservice的客户端也是axis1.X 生成的客户端。

第一大步：准备wss4j的jar包

下载wss4j相关的jar包到web的lib目录，如果你用的是maven, 在dependencies 里面加上:

&lt;dependency&gt;&lt;groupId&gt;org.apache.ws.security&lt;/groupId&gt;&lt;artifactId&gt;wss4j&lt;/artifactId&gt;&lt;version&gt;1.5.8&lt;/version&gt;&lt;/dependency&gt;

第二大步：客户端签名
创建客户端签名布署文件， client_deploy.wsdd, 这个文件里面的内容如下：

&lt;deployment xmlns="http://xml.apache.org/axis/wsdd/"xmlns:java="http://xml.apache.org/axis/wsdd/providers/java"&gt;&lt;transport name="http"pivot="java:org.apache.axis.transport.http.HTTPSender" /&gt;&lt;globalConfiguration&gt;&lt;requestFlow&gt;&lt;handler type="java:org.apache.ws.axis.security.WSDoAllSender"&gt;&lt;parameter name="action" value="Signature" /&gt;&lt;parameter name="user" value="clienthost" /&gt;&lt;parameter name="signatureUser" value="client.lianlian.com" /&gt;&lt;parameter name="passwordCallbackClass"value="com.lianlian.center.core.ClientPWCallback" /&gt;&lt;parameter name="signaturePropFile" value="crypto.properties" /&gt;&lt;parameter name="signatureKeyIdentifier" value="IssuerSerial" /&gt;&lt;/handler&gt;&lt;/requestFlow&gt;&lt;/globalConfiguration&gt;&lt;/deployment&gt;

<requestFlow> 表示由哪些handler来handle这个请求，
<handler type="java:org.apache.ws.axis.security.WSDoAllSender">表示由 java:org.apache.ws.axis.security.WSDoAllSender来发送请求

这个handler的参数有如下：

<parameter name="action" value="Signature" />
action表示要做什么， value=”Signature” 表示要签名

<parameter name="user" value="clienthost" />
<parameter name="signatureUser" value="client.lianlian.com" />
signatureUser表示证书别名，如果没有指定signatureUser，则用User作为证书别名
<parameter name="passwordCallbackClass"
value="com.lianlian.center.core.ClientPWCallback" />
这个类用来获取证书密码
<parameter name="signaturePropFile" value="crypto.properties" />
验名配置文件，配置文件的具体内容如下：

## 证书库文件org.apache.ws.security.crypto.merlin.file=client.p12##证书库密码org.apache.ws.security.crypto.merlin.keystore.password=changeit##Provider, 可以有好几种， 这只是其中一种org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin##证书库类型， 如JKS, PKCS12org.apache.ws.security.crypto.merlin.keystore.type=PKCS12

<parameter name="signatureKeyIdentifier" value="IssuerSerial" />
这个参数表示证书发送形式，有这么多种

<parameter name="encryptionKeyIdentifier" value="DirectReference" />
<parameter name="encryptionKeyIdentifier" value="EmbeddedKeyName" />
<parameter name="encryptionKeyIdentifier" value="SKIKeyIdentifier" />
<parameter name="encryptionKeyIdentifier" value="IssuerSerial" />
<parameter name="encryptionKeyIdentifier" value="X509KeyIdentifier" />
<parameter name="encryptionKeyIdentifier" value="Thumbprint" />

X509KeyIdentifier和DirectReference是将完整证书发过去， IssuerSerial只是发个主题过去。EmbeddedKeyName我估计只是将证书名称发过去。

在使用webservice客户端代码之前，先设置参数如下：

System.setProperty("axis.ClientConfigFile", "client_deploy.wsdd");

你所发送的文档中就已经有签名信息啦。

第三大步：服务器端验签

将下一面的一大段放到server-conf.wsdd

  &lt;requestFlow&gt;   &lt;handler type="java:org.apache.ws.axis.security.WSDoAllReceiver" &gt;    &lt;parameter name="action" value="Signature"/&gt;    &lt;parameter name="signaturePropFile" value="sign.properties" /&gt;   &lt;/handler&gt;  &lt;/requestFlow&gt;

<requestFlow> 表示由哪些handler来handle这个请求，
<handler type="java:org.apache.ws.axis.security. WSDoAllReceiver ">表示由 java:org.apache.ws.axis.security.WSDoAllSender来处理接收请求

<parameter name="action" value="Signature" />
action表示要做什么， value=”Signature” 表示要验证签名

<parameter name="signaturePropFile" value="sign.properties" />
验签配置文件，配置文件的具体内容如下：

## 证书库文件, 在webservice的实现中， 要让验签过程成功， 则server.p12中必须包含有客户端证书， server.p12中只包含一张根证书似乎是不行的。org.apache.ws.security.crypto.merlin.file=server.p12##证书库密码org.apache.ws.security.crypto.merlin.keystore.password=changeit##Provider, 可以有好几种， 这只是其中一种org.apache.ws.security.crypto.provider=org.apache.ws.security.components.crypto.Merlin##证书库类型， 如JKS, PKCS12org.apache.ws.security.crypto.merlin.keystore.type=pkcs12

第四大步：
验证成果，发送一笔报文如下：

  &lt;?xml version="1.0" encoding="UTF-8" ?&gt;  &lt;soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"&gt; &lt;soapenv:Header&gt; &lt;wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" soapenv:mustUnderstand="1"&gt; &lt;ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#" Id="Signature-1"&gt; &lt;ds:SignedInfo&gt;  &lt;ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /&gt;   &lt;ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" /&gt;  &lt;ds:Reference URI="#id-2"&gt; &lt;ds:Transforms&gt;  &lt;ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /&gt;   &lt;/ds:Transforms&gt;  &lt;ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" /&gt;   &lt;ds:DigestValue&gt;CdRj5Tv1GV4DW7WFjfZs/cihw3w=&lt;/ds:DigestValue&gt;   &lt;/ds:Reference&gt;  &lt;/ds:SignedInfo&gt;  &lt;ds:SignatureValue&gt;1z7nYiljv82QyGPb3JaO3gGUzZqrHWXOuqnP2MFuFykcKXv1qU2xeH9TJHK+8wkjV1J6tzEjT1Xg 0YnJ/al4KH/VtNY6I492zxusnEQiLy1wAcRLBek11Wwx5xfevTbZwWo0hwefCyNjWb9VN9TOZx2y rODEOoctpMxXBY/PEvFt11WKpTN8qi92LEEB/FpUXCJNz4T4sZLO1xExnR31sg7vUfEnQrTOKUy2 2xKuAwMqaCXzqhkYzgJ4GhmGDngW6ArKD1XUMvZhsGr5n0XMCJdKV72c5eQdV/enrAeQ41Uln0Xf aC3m39glgGCj1s+yEQoKPHPg5aaPXRVdaT8rWA==&lt;/ds:SignatureValue&gt;  &lt;ds:KeyInfo Id="KeyId-BCE125FAAC0B49234D12768317001252"&gt; &lt;wsse:SecurityTokenReference xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" wsu:Id="STRId-BCE125FAAC0B49234D12768317001253"&gt; &lt;ds:X509Data&gt; &lt;ds:X509IssuerSerial&gt;  &lt;ds:X509IssuerName&gt;EMAILADDRESS=zhouzz@lianlian.com,CN=zhizhang,OU=CPT,O=lianlian,L=hangzhou,ST=zhejiang,C=cn&lt;/ds:X509IssuerName&gt;   &lt;ds:X509SerialNumber&gt;17888630376294461835&lt;/ds:X509SerialNumber&gt;   &lt;/ds:X509IssuerSerial&gt;  &lt;/ds:X509Data&gt;  &lt;/wsse:SecurityTokenReference&gt;  &lt;/ds:KeyInfo&gt;  &lt;/ds:Signature&gt;  &lt;/wsse:Security&gt;  &lt;/soapenv:Header&gt; &lt;soapenv:Body xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" wsu:Id="id-2"&gt; &lt;login xmlns="http://center.lianlian.com/core"&gt;  &lt;partnerId xmlns=""&gt;18888888888&lt;/partnerId&gt;   &lt;password xmlns=""&gt;111111&lt;/password&gt;   &lt;/login&gt;  &lt;/soapenv:Body&gt;  &lt;/soapenv:Envelope&gt;

接收到的返回结果是

  &lt;?xml version="1.0" encoding="utf-8" ?&gt;  &lt;soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"&gt; &lt;soapenv:Body&gt; &lt;loginResponse xmlns="http://center.lianlian.com/core"&gt; &lt;loginResult xmlns=""&gt;  &lt;sessionId&gt;caecbe03-cba5-4323-9109-4a67e548dcab&lt;/sessionId&gt;  &lt;partnerResult&gt;  &lt;partnerId&gt;18888888888&lt;/partnerId&gt;   &lt;PartnerName&gt;黄金号码&lt;/PartnerName&gt;   &lt;/partnerResult&gt;  &lt;serverUrl&gt;http://center.lianlian.com/serviceCenter/services/coreSOAP&lt;/serverUrl&gt;   &lt;/loginResult&gt;  &lt;/loginResponse&gt;  &lt;/soapenv:Body&gt;  &lt;/soapenv:Envelope&gt;

接着再将报文作点小改动，但不改动签名
把

&lt;partnerId xmlns=""&gt;18888888888&lt;/partnerId&gt;改为&lt;partnerId xmlns=""&gt;88888888888&lt;/partnerId&gt;

看看返回结果

  &lt;?xml version="1.0" encoding="utf-8" ?&gt;  &lt;soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"&gt; &lt;soapenv:Body&gt; &lt;soapenv:Fault&gt;  &lt;faultcode&gt;soapenv:Server.generalException&lt;/faultcode&gt;   &lt;faultstring&gt;WSDoAllReceiver: security processing failed; nested exception is: org.apache.ws.security.WSSecurityException: The signature or decryption was invalid&lt;/faultstring&gt;  &lt;detail&gt;  &lt;ns1:hostname xmlns:ns1="http://xml.apache.org/axis/"&gt;zhou&lt;/ns1:hostname&gt;   &lt;/detail&gt;  &lt;/soapenv:Fault&gt;  &lt;/soapenv:Body&gt;  &lt;/soapenv:Envelope&gt;

服务器返回的是签名信息不对。

兑现Axis webservice 签名

热点推荐