基于SOA的Web服務(wù)安全交互的實(shí)現(xiàn)方法.pdf

1、面向服務(wù)的體系架構(gòu)（Service Oriented Architec ture,SOA）作為近年來IT業(yè)界的焦點(diǎn)，已經(jīng)逐漸成為影響中國IT系統(tǒng)構(gòu)建的主導(dǎo)思想。WebService通過一系列的標(biāo)準(zhǔn)技術(shù)，已成為企業(yè)實(shí)現(xiàn)SOA的首選，它實(shí)現(xiàn)了真正意義上的平臺(tái)無關(guān)性和語言獨(dú)立性。隨著WebService的廣泛應(yīng)用，其安全交互也變得越來越難以實(shí)現(xiàn)，因此，針對(duì)WebService安全和互操作，制定了相關(guān)規(guī)范并不斷進(jìn)行更新。由于WebService

2、安全規(guī)范涉及到消息的認(rèn)證機(jī)制、機(jī)密性和完整性等方面，且可選擇的余地很大，因此不同應(yīng)用服務(wù)器提供的對(duì)WebService安全機(jī)制的支持也不盡相同。于是，如何讓運(yùn)行在不同應(yīng)用服務(wù)器環(huán)境中的程序進(jìn)行安全交互成了一大難題。
　　SOA雖然解決了異構(gòu)平臺(tái)下Web服務(wù)的相互調(diào)用，且不同平臺(tái)間的安全信息交換也有相應(yīng)安全標(biāo)準(zhǔn)(WS-Security)，但是異構(gòu)環(huán)境下各Web服務(wù)平臺(tái)對(duì)WS-Security規(guī)范的支持存在不統(tǒng)一的地方，且各平臺(tái)在WS

3、-Security規(guī)范的實(shí)現(xiàn)上也存在著一些差異。例如WCF使用.pfx和.cer格式的證書，WAS將證書以.jks格式存放在Java密鑰倉庫（JKS）中；而且在安全策略的形式上也存在不同，WCF的策略配置放在.exe.config文件中，而WebSphere則放在policy.xml及policySet.xml中。
　　針對(duì)以上異構(gòu)平臺(tái)下Web服務(wù)的安全問題，本文從SOAP消息的安全性角度出發(fā)，探討了異構(gòu)平臺(tái)環(huán)境下Web服務(wù)交互的