Question

我在Spring应用程序上有多个有效的SOAP Web服务，使用httpBasic身份验证，我需要在其中一个上使用WS-Security来允许使用以下Soap Header进行身份验证。

<soap:Header><wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" soap:mustUnderstand="1">
  <wsse:UsernameToken xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" wsu:Id="UsernameToken-1">
    <wsse:Username>username</wsse:Username>
    <wsse:Password Type="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#PasswordText">password</wsse:Password>
  </wsse:UsernameToken>
</wsse:Security></soap:Header>

当前的WSConfiguration是根据https://github.com/spring-projects/spring-boot/blob/master/spring-boot-samples/spring-boot-sample-ws/完成的，提供类似

的内容

@EnableWs
@Configuration
public class WebServiceConfig extends WsConfigurerAdapter {

    @Bean
    public ServletRegistrationBean dispatcherServlet(ApplicationContext applicationContext) {
        MessageDispatcherServlet servlet = new MessageDispatcherServlet();
        servlet.setApplicationContext(applicationContext);
        return new ServletRegistrationBean(servlet, "/services/*");
    }

    @Bean(name = "SOAP1")
    public DefaultWsdl11Definition defaultWsdl11Definition(XsdSchema soap1) {
        DefaultWsdl11Definition wsdl11Definition = new DefaultWsdl11Definition();
        wsdl11Definition.setPortTypeName("Soap1");
        wsdl11Definition.setLocationUri("/soap1/");
        wsdl11Definition.setTargetNamespace("http://mycompany.com/hr/definitions");
        wsdl11Definition.setSchema(soap1);
        return wsdl11Definition;
    }

    @Bean
    public XsdSchema soap1() {
        return new SimpleXsdSchema(new ClassPathResource("META-INF/schemas/hr.xsd"));
    }

}

根据http://spring.io/blog/2013/07/03/spring-security-java-config-preview-web-security/的Web Security看起来像这样

@EnableWebSecurity
@Configuration
public class CustomWebSecurityConfigurerAdapter extends
   WebSecurityConfigurerAdapter {
  @Autowired
  public void configureGlobal(AuthenticationManagerBuilder auth) {
    auth
      .inMemoryAuthentication()
        .withUser("user1")  
          .password("password")
          .roles("SOAP1")
          .and()
        .withUser("user2") 
          .password("password")
          .roles("SOAP2");
  }

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .authorizeUrls()
        .antMatchers("/soap/soap1").hasRole("SOAP1") 
        .antMatchers("/soap/soap2").hasRole("SOAP2") 
        .anyRequest().authenticated() 
        .and().httpBasic();
  }
}

经过一些搜索，我发现Wss4J提供了UsernameToken身份验证，但无法弄清楚如何使用它。我想要做的是以下内容 https://sites.google.com/site/ddmwsst/ws-security-impl/ws-security-with-usernametoken 但没有带有bean定义的XML文件。

我打算做什么：

创建回调处理程序。
创建一个Wss4jSecurityInterceptor，将“setValidationActions”设置为“UsernameToken”，将“setValidationCallbackHandler”设置为我的回调处理程序，然后通过覆盖 addInterceptors添加它在我的WebServiceConfig上。

（我试过类似的东西，但我刚刚意识到我的回调是使用了弃用的方法）

问题：即使它有效，它也会应用于“WebServiceConfig”上的所有web服务。

更新：

实现确实有效，但正如预期的那样，它将应用于我的所有Web服务。我怎么能只将我的拦截器添加到1个Web服务？

以下是我在WebServiceConfig中添加的代码

 @Bean
    public Wss4jSecurityInterceptor wss4jSecurityInterceptor() throws IOException, Exception{
        Wss4jSecurityInterceptor interceptor = new Wss4jSecurityInterceptor();
        interceptor.setValidationActions("UsernameToken");
        interceptor.setValidationCallbackHandler(new Wss4jSecurityCallbackImpl());

    return interceptor;
}

@Override
public void addInterceptors(List<EndpointInterceptor> interceptors)  {
    try {
        interceptors.add(wss4jSecurityInterceptor());
    } catch (Exception e) {
        e.printStackTrace();
    }
}

Answer 1

对不起，我完全忘了回答这个问题，但万一它可以帮到某人：

我们通过创建一个新的SmartEndpointInterceptor并将其仅应用于我们的端点来实现它：

public class CustomSmartEndpointInterceptor extends Wss4jSecurityInterceptor implements SmartEndpointInterceptor {

    //CustomEndpoint is your @Endpoint class
    @Override
    public boolean shouldIntercept(MessageContext messageContext, Object endpoint) {
        if (endpoint instanceof MethodEndpoint) {
            MethodEndpoint methodEndpoint = (MethodEndpoint)endpoint;
            return methodEndpoint.getMethod().getDeclaringClass() == CustomEndpoint.class; 
        }
        return false;
    }
}

不是将wss4j bean添加到WebServiceConfig，而是添加了我们的SmartEndpointInterceptor：

@Configuration
public class SoapWebServiceConfig extends WsConfigurationSupport {

    //Wss4jSecurityCallbackImpl refers to an implementation of https://sites.google.com/site/ddmwsst/ws-security-impl/ws-security-with-usernametoken
    @Bean
    public CustomSmartEndpointInterceptor customSmartEndpointInterceptor() {
        CustomSmartEndpointInterceptor customSmartEndpointInterceptor = new CustomSmartEndpointInterceptor();
        customSmartEndpointInterceptor.setValidationActions("UsernameToken");
        customSmartEndpointInterceptor.setValidationCallbackHandler(new Wss4jSecurityCallbackImpl(login, pwd)); 
        return customSmartEndpointInterceptor;
    }

  [...]
}

希望这很清楚:)

Answer 2

值得注意的是，该方法的结果是否应该为Intercept，程序将始终执行handleRequest方法。
例如，在登录过程中，这可能很危险。
在我正在开发的项目中，我们只有两个端点：

UserLoginEndpoint
SomeGeneralEndpoint

登录仅出于登录目的而被调用，并且将产生一个令牌，我必须从请求中以某种方式解析该令牌（这是通过拦截器完成的，这是我们在应用程序中唯一需要的一个）。
假设我们有以下拦截器，就像Christophe Douy提出的那样，我们感兴趣的类将是UserLoginEndpoint.class

public class CustomSmartEndpointInterceptor extends Wss4jSecurityInterceptor implements SmartEndpointInterceptor {

//CustomEndpoint is your @Endpoint class
@Override
public boolean shouldIntercept(MessageContext messageContext, Object endpoint) {
    if (endpoint instanceof MethodEndpoint) {
        MethodEndpoint methodEndpoint = (MethodEndpoint)endpoint;
        return methodEndpoint.getMethod().getDeclaringClass() == UserLoginEndpoint.class; 
    }
    return false;
}

如果所有方法都返回true，那就很好，并且将执行handleRequest方法中定义的逻辑。
但是我的问题在哪里？
对于我的特定问题，我正在编写一个拦截器，该拦截器仅在用户已经登录时才起作用。这意味着先前的代码段应为以下

public class CustomSmartEndpointInterceptor extends Wss4jSecurityInterceptor implements SmartEndpointInterceptor {

//CustomEndpoint is your @Endpoint class
@Override
public boolean shouldIntercept(MessageContext messageContext, Object endpoint) {
    if (endpoint instanceof MethodEndpoint) {
        MethodEndpoint methodEndpoint = (MethodEndpoint)endpoint;
        return methodEndpoint.getMethod().getDeclaringClass() != UserLoginEndpoint.class; 
    }
    return false;
}

如果这是真的，则将执行handleRequest方法（我的实现在下面）

@Override
public boolean handleRequest(MessageContext messageContext, Object endpoint) throws Exception {

    System.out.println("### SOAP REQUEST ###");


    InputStream is = null;
    DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
    factory.setNamespaceAware(true);
    Document doc = null;
    try {
        ByteArrayOutputStream buffer = new ByteArrayOutputStream();
        messageContext.getRequest().writeTo(buffer);
        String payload = buffer.toString(java.nio.charset.StandardCharsets.UTF_8.name());
        System.out.println(payload);
        is = new ByteArrayInputStream(payload.getBytes());
        DocumentBuilder builder = factory.newDocumentBuilder();
        doc = builder.parse(is);
    } catch (IOException ex) {
        ex.printStackTrace();
        return false;
    }

    XPath xpath = XPathFactory.newInstance().newXPath();
    xpath.setNamespaceContext(new NamespaceContext() {
        @Override
        public String getNamespaceURI(String prefix) {
            switch(prefix) {
                case "soapenv":
                    return "http://schemas.xmlsoap.org/soap/envelope/";
                case "it":
                    return "some.fancy.ws";
                default:
                    return null;
            }
        }

        @Override
        public String getPrefix(String namespaceURI) {
            return null;
        }

        @Override
        public Iterator getPrefixes(String namespaceURI) {
            return null;
        }
    });
    XPathExpression expr = xpath.compile("//*//it:accessToken//text()");
    Object result = expr.evaluate(doc, XPathConstants.NODE);
    Node node = (Node) result;
    String token = node.getNodeValue();
    return authUtility.checkTokenIsValid(token);

}

但是，如果Intercept 返回false 会怎样？如果在“实现” SmartPointEndPointInterceptor时必须执行的handleRequest方法返回true，则调用链将继续；否则，调用链将继续。但是如果返回false，它将停止在此处：我处于第二种情况，但是handleRequest 仍然被执行。
我发现的唯一解决方法是在MessageContext中添加一个属性，该属性具有一个任意键和一个对应的值，该值是shouldIntercept方法返回的值。
然后在handleRequest的实现的第一行中取反该值，以强制返回true并具有调用链

    if (!(Boolean)messageContext.getProperty("shouldFollow")) {
        return true;
    }

当然，这将在只需要一个拦截器的项目中起作用（例如，在我的情况下，仅是为了验证用户是否真正登录），并且还有许多其他因素可能会影响一切，但我认为这是值得的分享这个话题。
如果我在这里回答而不是提出新的问题时出错，我预先表示歉意。

Spring WS：如何将Interceptor应用于特定端点

2 个答案: