Проблема аутентификации SOAP usernameToken с помощью Apache CXF - PullRequest
Новая
       31

Проблема аутентификации SOAP usernameToken с помощью Apache CXF

0 голосов
/ 17 сентября 2018

Я пытаюсь разработать веб-сервис SOAP под Apache CXF 3.0.4, но у меня возникают проблемы при аутентификации UsernameToken, включенного в каждый заголовок сообщения SOAP, с использованием WS-SecurityPolicy.Согласно документации WS-SecurityPolicy автоматически включается, если на classpath доступны модули cxf-rt-ws-policy и cxf-rt-ws-security.Он выполняет необходимую работу для обеспечения безопасности после правильной настройки.Я выполняю настройку через аннотации свойств конечной точки следующим образом: 

@WebService(targetNamespace = "http://tempuri.org/", name = "MyService")

@EndpointProperties(value = {
        @EndpointProperty(key = "ws-security.callback-handler", value = "org.tempuri.ServerPasswordCallback")
        //@EndpointProperty(key = "ws-security.validate.token", value = "false")
    }
)


public interface MyService {
...
}

ServerPasswordCallback: 

public class ServerPasswordCallback implements CallbackHandler {

    public ServerPasswordCallback() {
        System.out.println("Instantiating ServerPasswordCallback");
    }

    public void handle(Callback[] callbacks) throws IOException,
            UnsupportedCallbackException {

        System.out.println("Validating on ServerPasswordCallback");

        WSPasswordCallback pc = (WSPasswordCallback) callbacks[0];

        if (pc.getIdentifier().equals("joe")) {
            // set the password on the callback. This will be compared to the
            // password which was sent from the client.
            pc.setPassword("password");
        }
    }

}

Проблема в том, что я получаю следующее исключение: 

Caused by: org.apache.wss4j.common.ext.WSSecurityException: The security token could not be authenticated or authorized
        at org.apache.wss4j.dom.validate.UsernameTokenValidator.verifyDigestPassword(UsernameTokenValidator.java:176)
        at org.apache.wss4j.dom.validate.UsernameTokenValidator.verifyPlaintextPassword(UsernameTokenValidator.java:136)
        at org.apache.wss4j.dom.validate.UsernameTokenValidator.validate(UsernameTokenValidator.java:94)

Заголовок отправленного сообщения: 

<?xml version="1.0"?>
<soapenv:Header>
  <wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">
    <wsse:UsernameToken wsu:Id="UsernameToken-3B91E43693FA4F34C61536922750459149">
      <wsse:Username>joe</wsse:Username>
      <wsse:Password Type="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#PasswordText">password</wsse:Password>
      <wsse:Nonce EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary">ey+3J+OKoHlhfqREn7Q8jw==</wsse:Nonce>
      <wsu:Created>2018-09-14T10:59:10.459Z</wsu:Created>
    </wsse:UsernameToken>
    <wsu:Timestamp wsu:Id="TS-3B91E43693FA4F34C61536922750459148">
      <wsu:Created>2018-09-14T10:59:10.459Z</wsu:Created>
      <wsu:Expires>2018-09-14T10:59:15.459Z</wsu:Expires>
    </wsu:Timestamp>
  </wsse:Security>
</soapenv:Header>

Странно то, что кажется, что ServerPasswordCallback никогда не создается, а handle() никогда не вызывается.Если в аннотациях свойств конечной точки я установлю ws-security.validate.token на false, будет сгенерировано прежнее исключение, даже если это свойство должно препятствовать проверке токена.Этот факт заставляет меня думать, что аннотации не работают, но я не могу понять, почему.Это правильный способ аутентификации UsernameToken?Правильны ли аннотации свойств конечной точки?

NB. Я не могу установить свойства конечной точки, как предложено в документации , потому что у меня нет доступа к экземпляру конечной точки. Пример проекта доступен здесь

1 Ответ

0 голосов
/ 20 сентября 2018

Наконец-то я нашел решение: 

@WebService(targetNamespace = "http://tempuri.org/", name = "MyService")

@EndpointProperties(value = {
        @EndpointProperty(key = "webservice.security.authMethod", value = "WS-SECURITY")
        @EndpointProperty(key = "ws-security.callback-handler", value = "org.tempuri.ServerPasswordCallback")
    }
)


public interface MyService {
...
}

Чтобы аннотации работали, необходимо включить в EndpointProperties следующую аннотацию: 

@EndpointProperty(key = "webservice.security.authMethod", value = "WS-SECURITY")
...