Richie

Sometimes at night when I look up at the stars, and see the whole sky just laid out there, don't you think I ain't remembering it all. I still got dreams like anybody else, and ever so often, I am thinking about how things might of been. And then, all of a sudden, I'm forty, fifty, sixty years old, you know?

WSE 3.0 UsernameToken SOAP消息分析

    WSE 3.0 UsernameToken应用中的例子，一个调用HelloWorld() Web Service示例，应用了WSE 3.0 UsernameToken方式，下面对照不同的配置下SOAP消息的差异。

    1. 未使用WSE时的SOAP消息。
<soap:Envelope ... >
  <soap:Body>
    <HelloWorld xmlns="http://tempuri.org/" />
  </soap:Body>
</soap:Envelope>

    2. 启用WSE，使用UsernameToken，但不启用WS-Security 1.1 Extensions（UsernameOverTransportAssertion）。
    SOAP消息如下：
<soap:Envelope ... >
  <soap:Header>
    <wsa:Action>http://tempuri.org/HelloWorld</wsa:Action>
    <wsa:MessageID>urn:uuid:b637fb86-8712-4845-a71c-8f91320168ac</wsa:MessageID>
    <wsa:ReplyTo>
      <wsa:Address>http://schemas.xmlsoap.org/ws/2004/08/addressing/role/anonymous</wsa:Address>
    </wsa:ReplyTo>
    <wsa:To>http://.../WSEServer/MyService.asmx</wsa:To>
    <wsse:Security soap:mustUnderstand="1">
      <wsu:Timestamp wsu:Id="Timestamp-72b13f43-5c2e-46ea-81cb-dbc0f99b3605">
        <wsu:Created>2007-03-15T04:47:47Z</wsu:Created>
        <wsu:Expires>2007-03-15T04:52:47Z</wsu:Expires>
      </wsu:Timestamp>
      <wsse:UsernameToken xmlns:wsu="......" wsu:Id="SecurityToken-a2526d47-d01b-476c-a15b-b7f84e55181d">
        <wsse:Username>Administrator</wsse:Username>
        <wsse:Password Type="......">5W0xOMVVDnlCRwclYMszo9ZEwOs=</wsse:Password>
        <wsse:Nonce>ttsA3uaB4KqBa2Vrcd7X8A==</wsse:Nonce>
        <wsu:Created>2007-03-15T04:47:47Z</wsu:Created>
      </wsse:UsernameToken>
    </wsse:Security>
  </soap:Header>
  <soap:Body>
    <HelloWorld xmlns="http://tempuri.org/" />
  </soap:Body>
</soap:Envelope>
    wsa:的节点是WS-Addressing内容，wsse:Security节点里面就是WSE安全性扩展的内容了，包括了UsernameToken认证信息，密码经过了加密处理。WS-Addressing可参考：WS-Addressing 从理论到实践。

    3. 在WS-Security 1.1扩展中选择Sign-Only选项（UsernameForCertificateAssertion）。
完整的SOAP消息内容
    主要元素结构如下：
<soap:Envelope ... >
  <soap:Header>
    <wsa:Action wsu:Id="Id-7b15dc35-0eb2-4df7-890c-79b3e3b70917">http://tempuri.org/HelloWorld</wsa:Action>
    <wsa:MessageID wsu:Id="Id-3867fb2e-3f70-4ab8-9c71-1051104fc7e5">urn:uuid:...</wsa:MessageID>
    <wsa:ReplyTo wsu:Id="Id-b7e40812-850d-4de6-b2a1-511a8661c526">...</wsa:ReplyTo>
    <wsa:To wsu:Id="Id-6528e50b-b801-487d-bce8-8d016064490e">http://.../WSEServer/MyService.asmx</wsa:To>
    <wsse:Security soap:mustUnderstand="1">
      <wsu:Timestamp wsu:Id="Timestamp-a74f13f4-f22a-4891-9f6c-305453df2170">...</wsu:Timestamp>
      <xenc:EncryptedKey Id="SecurityToken-6154d45b-e47f-4ee2-bc30-c70c655ecca0" xmlns:xenc="...">
        <xenc:EncryptionMethod Algorithm="...">
          <ds:DigestMethod ... />
        </xenc:EncryptionMethod>
        <KeyInfo xmlns="...">
          <wsse:SecurityTokenReference>
            <wsse:KeyIdentifier ValueType="..." EncodingType="...">RRQNS/KyeQtEHDwaaEgaymxsxpo=</wsse:KeyIdentifier>
          </wsse:SecurityTokenReference>
        </KeyInfo>
        <xenc:CipherData>
          <xenc:CipherValue>...</xenc:CipherValue>
        </xenc:CipherData>
      </xenc:EncryptedKey>
      <!--派生密匙1-->
      <wssc:DerivedKeyToken wsu:Id="SecurityToken-1bcf5e7d-34ad-429d-93f5-d2818446418e" ...>
        <wsse:SecurityTokenReference>
          <wsse:Reference URI="#SecurityToken-6154d45b-e47f-4ee2-bc30-c70c655ecca0" ... />
        </wsse:SecurityTokenReference>
        <wssc:Generation>0</wssc:Generation>
        <wssc:Length>32</wssc:Length>
        <wssc:Label>WS-SecureConversationWS-SecureConversation</wssc:Label>
        <wssc:Nonce>SetU9IzX1rRSG0jTjtBZMw==</wssc:Nonce>
      </wssc:DerivedKeyToken>
      <xenc:ReferenceList xmlns:xenc="...">...</xenc:ReferenceList>
      <xenc:EncryptedData Id="Enc-b1232155-f376-4ff7-9521-6f66e8a2acc7" type="http://www.w3.org/2001/04/xmlenc#Element" ...>
        <xenc:EncryptionMethod Algorithm="..." />
        <!--使用派生密匙1加密-->
        <KeyInfo xmlns="...">
          <wsse:SecurityTokenReference>
            <wsse:Reference URI="#SecurityToken-1bcf5e7d-34ad-429d-93f5-d2818446418e" ValueType="..." />
          </wsse:SecurityTokenReference>
        </KeyInfo>
        <xenc:CipherData>
          <xenc:CipherValue>...</xenc:CipherValue>
        </xenc:CipherData>
      </xenc:EncryptedData>
      <!--派生密匙2-->
      <wssc:DerivedKeyToken wsu:Id="SecurityToken-7b9ff86e-8d7d-430a-ac0b-1a330d036d1c" ...>...</wssc:DerivedKeyToken>
      <Signature xmlns="...">
        <SignedInfo>
          <ds:CanonicalizationMethod ... />
          <SignatureMethod Algorithm="..." />
          <Reference URI="#SecurityToken-b25e7443-682b-479b-be6f-dd61c9f38e82">...</Reference>
          <Reference URI="#Id-7b15dc35-0eb2-4df7-890c-79b3e3b70917">...</Reference>
          <Reference URI="#Id-3867fb2e-3f70-4ab8-9c71-1051104fc7e5">...</Reference>
          <Reference URI="#Id-b7e40812-850d-4de6-b2a1-511a8661c526">...</Reference>
          <Reference URI="#Id-6528e50b-b801-487d-bce8-8d016064490e">...</Reference>
          <Reference URI="#Timestamp-a74f13f4-f22a-4891-9f6c-305453df2170">...</Reference>
          <Reference URI="#Id-657b476d-f5a5-4d60-9476-9ae7087caad6">...</Reference>
        </SignedInfo>
        <SignatureValue>xL7BlslQN8GrE3E9IPaSzoMcu5Y=</SignatureValue>
        <KeyInfo>
          <!--使用派生密匙2签名-->
          <wsse:SecurityTokenReference>
            <wsse:Reference URI="#SecurityToken-7b9ff86e-8d7d-430a-ac0b-1a330d036d1c" ValueType="..." />
          </wsse:SecurityTokenReference>
        </KeyInfo>
      </Signature>
    </wsse:Security>
  </soap:Header>
  <soap:Body wsu:Id="Id-657b476d-f5a5-4d60-9476-9ae7087caad6">
    <HelloWorld xmlns="http://tempuri.org/" />
  </soap:Body>
</soap:Envelope>
    大致看一下这段SOAP消息的含义：
    a) xenc:EncryptedKey元素中是经过加密处理后UsernameToken中的用户密码，使用服务器端X.509证书的公匙加密。
    b) 接下来可以看到有两个wssc:DerivedKeyToken元素，这是生成的两个派生密匙，关于派生密匙可以参考Web服务安全对话语言 。
    wssc:DerivedKeyToken/wsse:SecurityTokenReference/wsse:Reference元素的URI属性值是xenc:EncryptedKey的id，表明它对xenc:EncryptedKey元素的引用，从这个引用可以知道是从哪个密匙派生而来。通过URI属性引用其它资源，如果以符号#开始，表明是引用当前xml文档中id、wsu:id值相对应的元素。
    c) xenc:EncryptedData元素。从xenc:EncryptedData元素的type属性可以看出它是对原SOAP消息中的一个xml元素进行了加密，是哪一个元素呢，就是类似步骤2中的那个wsse:UsernameToken元素，它包含用户名等安全认证信息。通过xenc:EncryptedData/KeyInfo里面的引用信息可以知道，这个元素是使用派生密匙1加密的。
    d) Signature元素。可以参考：XML Signature。
    从Signature/KeyInfo中的引用信息可以知道，使用了派生密码2进行签名。通过Signature/SignedInfo中的Reference列表可以知道，SOAP消息中的哪些元素被用来签名了。在前面完整的SOAP消息中你可能会发现，第一个Reference元素URI属性所指向的id在文档中不存在。在c)中提到xenc:EncryptedData元素对原SOAP文档的一个元素进行了加密，这个元素的id应当就是被第一个Reference引用的。

    4. 在WS-Security 1.1扩展中选择Sign and Encrypt选项（UsernameForCertificateAssertion）。
    在这个配置中，soap:Header和步骤3 Sign-Only配置时基本一样，区别是，步骤3的配置中soap:Body没有被加密，而选择Sign and Encrypt选项后soap:Body也是被加密的。如果基于步骤3的SOAP消息来看，soap:Body使用的派生密匙1进行加密。
    soap:Body的xml如下：
  <soap:Body wsu:Id="Id-d964042a-68fe-4c48-a0e1-480863f0d4c5">
    <xenc:EncryptedData Id="Enc-146fe92b-0887-440a-a52d-58dce539f25e" ...>
      <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#aes256-cbc" />
      <KeyInfo xmlns="...">
        <wsse:SecurityTokenReference>
          <wsse:Reference URI="#SecurityToken-9682679a-876c-4096-992b-068dd5752d91" ValueType="..." />
        </wsse:SecurityTokenReference>
      </KeyInfo>
      <xenc:CipherData>
        <xenc:CipherValue>...</xenc:CipherValue>
      </xenc:CipherData>
    </xenc:EncryptedData>
  </soap:Body>

posted on 2007-03-16 16:00 RicCC 阅读(2530) 评论(9)  编辑 收藏 所属分类: Web Service

Feedback

#1楼  2007-03-16 17:07 wsx [未注册用户]

搂主是高人，你写的我看不懂！纯粹支持！   回复  引用    

#2楼  2007-03-16 17:49 Artech      

先收藏，有时间看！   回复  引用  查看    

#3楼  2007-03-17 17:02 a [未注册用户]

<div align="center"><a href="http://www.amazingcounters.com"><img border="0" src="http://c8.amazingcounters.com/counter.php?i=1710455&c=5131678" alt="web site counters"></a><br><a href="http://www.allgamerentals.com/gamecube.php"><font color="#8d8d8d" size="2">GameCube Game</font></a></div>   回复  引用    

#4楼  2007-03-19 20:41 hs [未注册用户]

请问是用什么工具查看SOAP消息的？交个朋友，谢谢，请回复到viphs@126.com   回复  引用    

#5楼  2007-03-22 16:50 程序员 [未注册用户]

楼主，强啊，顶   回复  引用    

#6楼  2007-04-13 08:49 va_van [未注册用户]

我也想知道如何查看soap消息？
  回复  引用    

#7楼 [楼主] 2007-04-13 09:24 RicCC      

可以使用SOAP toolkit，也可以使用WSE的trace功能，WSE 3.0中还有自定义trace的示例   回复  引用  查看    

#8楼  2008-07-14 17:45 lucy-lee [未注册用户]

你好楼主，我也想问问你是怎么查到SOAP消息的，我使用了SOAP toolkit工具，但是总是说无法显示。所以我也看不到。请问你是怎么解决的？   回复  引用    

#9楼 [楼主] 2008-07-15 09:42 RicCC      

@lucy-lee
我现在没有WSE环境，不大清楚你遇到的问题
如果SOAP toolkit抓不到通讯消息，可以参考
http://www.cnblogs.com/RicCC/archive/2007/06/09/WSE-MTOM-Custom-Policy-Trace-Assertion.html
写一个自定义的trace，可以在发送消息前、接收消息后把消息内容记录到文件中   回复  引用  查看    


标题  
姓名  
主页
Email (博主才能看到) 
验证码 *  看不清,换一张 [登录][注册]
内容(请不要发表任何与政治相关的内容)  
网站首页

新闻频道

社区

小组

博问