在UsernameToken下的ws-security中，<sp：nopassword>不是有效的断言吗？</sp：nopassword>

Question

我们正在使用Apache Axis2实现Web服务，并与WS-Security集成（使用Apache Rampart模块）。

我们正在尝试定义Ws-Security策略，该策略不强制用户在Usernametoken中发送密码，因为我们仅针对数据库验证用户名 - 实际身份验证是通过密钥执行的交换（不对称约束）机制。

当我们尝试使用以下断言时，Axis2只是忽略 NoPassword 。

<sp:SupportingTokens>
    <wsp:Policy>
      <sp:UsernameToken>
        <wsp:Policy>
          <sp:NoPassword/>
        </wsp:Policy>
      </sp:UsernameToken>
    </wsp:Policy>
</sp:SupportingTokens>

在 Ws-Security 中， NoPassword 不是有效的断言吗？

框架：

Apache Axis2 v1.6.2

Apache Rampart v1.6.2

Answer 1

它是WS-Security Policy 1.2中的有效策略断言，但未针对策略语言1.1进行定义。在1.2中编写您的策略，然后Apache Rampart将为您完成工作。请查看此JIRA [1]以获取更多信息。

[1] - https://issues.apache.org/jira/browse/RAMPART-385