Основное отличие состоит в том, что связанные с HTTP механизмы безопасности защищают транспортный уровень веб-службы, а безопасность WS направлена на более высокий уровень абстракции.
аналогично, у вас могут быть и решения для обеспечения безопасности более высокого уровня (например, шифрование простоопределенное поле пароля в веб-службе) или более низкие уровни (например, VPN)
В разных сценариях требуются разные меры безопасности на разных уровнях
Некоторые примеры: веб-службы не ограничиваются передачей HTTP -ваша среда может включать другие транспорты (например, обмен сообщениями с использованием JMS, MSMQ и т. д.).настройка безопасности на уровне веб-служб (а не на транспортном уровне) позволит вам использовать общий механизм для всей среды.
Другая проблема заключается в том, что информация о безопасности на уровне http «очищается» по мере повышения уровняв стеке веб-служб - например, во многих местах вы не будете обращаться к поставщику услуг напрямую, а через центральный ESB (Enterprise Service Bus).ESB выступает в качестве центрального концентратора для служб, а также может выполнять такие задачи, как ведение журнала, маршрутизация, публикация на нескольких конечных точках служб и т. д. При использовании ESB http-соединение разрывается на ESB, и служба получает новое http-соединение.исходящий из ESB - таким образом, механизмы безопасности http не могут обеспечить сквозную защиту.Однако информация WS Security может быть сохранена, даже если сообщения маршрутизируются через ESB
То, что вы описываете в своем последнем комментарии, похоже, не связано с предыдущим ответом
Вы имеете в виду?у них есть механизм, такой как OpenID или kerberos, где вы можете использовать свои учетные данные с одного сайта для доступа к другому сайту?Это не относится к веб-сервисам, и для этого существуют различные существующие протоколы (я предполагаю, что они используют существующий протокол).Конечно, подобный механизм может быть разработан с использованием стандартов WS Security.Протокол Kerberos, например, работает следующим образом: 1. Пользователь проходит проверку подлинности на сервере безопасности. 2. Сервер защиты отвечает подписанным сообщением (называемым тикетом), в котором говорится: «Пользователь 123 прошел проверку подлинности». 3. Пользователь использует это сообщение для подтверждения.что он действительно является пользователем 123 на втором сайте, и нет необходимости, чтобы на втором сайте действительно получался пароль от его имени пользователя.Этот протокол основан на шифровании и криптографических сигнатурах - оба доступны с использованием безопасности WS.