問題タブ [wss4j]

署名の検証と復号化に WSS4j を使用するソリューションを実装しています。これらの目的ごとに 1 つずつ、2 つのキー ストアがあります。これはサーブレット Web アプリケーションで行われています。テストのために、キー ストア/暗号プロパティ ファイルを EAR に配置していますが、より長期的なソリューションが必要です。

おそらく WSS4J の暗号オブジェクトによって参照される可能性のある JNDI を介して、Websphere にキー ストアを格納する方法はありますか? 管理者は、キーストアをファイル システムに直接配置することを避けようとしています。

私は石鹸クライアントと石鹸サーバーの両方をCXFを使用しています。メッセージ署名が正しく機能しています。IBM SOAPアプライアンスを使用してsoapクライアントを別のSOAPサーバーに向けると、応答メッセージに要素SignatureConfirmationが含まれます。CXFベースのSOAPサーバーがサードパーティのSOAPサーバーと同じ結果をもたらすようにしたいのですが、その要素を有効にするようにサーバーを構成するにはどうすればよいですか？

サーバーの設定方法は次のとおりです。

x.509 証明書にアクセスするためのカスタム インターセプターを作成したいと思います。

http://forum.springsource.org/showthread.php?100159-ProviderNotFoundException-wiring-CXF-s-WSS4JInInterceptor-with-Spring-Security。

デフォルトの org.apache.cxf.ws.security.wss4j.WSS4JInInterceptor の後にインターセプターを作成する必要がありますが、これを構成する必要があるかどうかについての手がかりが見つかりません。ちなみに、私はSpring xml構成を使用しています。

WSS4J デフォルト インターセプターの後にインターセプターを追加すると、後で実行される別のインターセプターの証明書にアクセスできるようになると読みましたが、証明書の実行順序を変更する方法が見つかりません。

同じTomcat7インスタンスに2つのWARをデプロイしていて、どちらもCXF+WSS4Jを使用しています。2つのアプリはSOAPを介して通信し、WSS4JインターセプターはSOAPヘッダーのSAMLアサーションを処理します。各戦争を個別にテストすると、すべてが正常に機能しますが、両方のアプリがデプロイされ、一方のアプリがもう一方のアプリにSOAPメッセージを送信すると、次のClassCastExceptionが発生します。

私にとって、これはクラスローダーの問題を意味しますが、具体的には何がわかりません。各アプリには、それぞれのWEB-INF / libフォルダーにWSS4Jの独自のコピーがあり、Tomcatの共通ライブラリにWSS4Jライブラリがありません。

本番環境では、これら2つのアプリが同じJVMを使用することはほとんどなく、同じTomcatインスタンスにあることは言うまでもありませんが、この問題の根底にあると、より快適に感じるでしょう。また、開発中の同じTomcatインスタンスから両方のアプリを起動するのにも役立ちます。誰かが問題が何であるかについて何か考えを持っていますか？

更新1： 両方が同じJVMを使用する別々のTomcatインスタンスに各戦争を展開し、ClassCastExceptionがなくなりました。Tomcatクラスのロードでは理解できないことでしょうか？

WSS4Jの部分を追加し始めるまで、CXFを使用して最初のWebサービスの契約を設定することはかなりうまくいっていました。

パスワードの送信をデバッグして、soapヘッダーにログインしようとしています。WSPasswordCallbackクラスでgetPassword（）を呼び出すと、nullになります。石鹸の封筒から、パスワードが送信されたことがわかります。

この投稿、http：//old.nabble.com/PasswordDigest-and-PasswordText-difference-td24475866.html、2009年から、UsernameTokenHandlerが欠落している（作成する必要がある）かどうか疑問に思いました。

それが本当なら、誰かが私に、spring / cxf bean xmlファイルでそれを構成する方法を教えてもらえますか？

アドバイスや提案をいただければ幸いです。

問題のJavaファイルは次のとおりです。

CXF / Spring構成ファイル：

せっけんメッセージ：

現在、WS エンドポイントの 1 つに対して以下の構成があります。

ここで、このbean="myServiceInterceptor" とカスタム userNameToken Validator構成 (jaxws:properties)を別の jar (たとえば A)に移動したいと思います。そのjar Aを使用するSpring WSは、同じインターセプターとcustomUseranameToken機能を活用できます。

私の質問:

ありがとう！

Webサービスセキュリティインターセプターと UsernameTokenValidator を構成し、これをmyws-security.jarに入れたいというシナリオがあります。これは、この jar を使用する任意の Web サービス (CXF ベースまたは Spring-WS) で使用できます。このシナリオに対処するための練習は何でしょう。

この場合、 org.apache.cxf.ws.security.wss4j.WSS4JInInterceptorクラスまたはorg.springframework.ws.soap.security.wss4j.Wss4jSecurityInterceptorでインターセプターを構成するとうまくいきますか?

WS-* セキュリティを備えた WCF Web サービスがあり、WSS4J API を使用して Java クライアントを作成する必要があります。しかし、WSS4J は、WS-SecureConversation に固有の<SecurityContextToken>andタグをサポートしていないことが判明しました。<DerivedKeyToken>

web.configを介して、コードまたはより良い方法でオフにする方法はありますか?

アップデート：

サービス定義:

動作とバインディング:

<expires>ws-security の要素を SOAP ヘッダーに含めるかどうかを制御する wss4j または cxf のオプションはありますか。

私が達成したいのは、SOAPヘッダーに<created>要素のみが含まれていることです。

wss4j 1.5.10 と cxf 2.3.x を使用しています

タイムスタンプのxsdスキーマには

証明書 (X509) の検証が実行される唯一の方法は、サーバーへの要求に、サーバーのキーストアに既にある証明書が含まれている場合、要求を処理することです (サーバーの応答と同じです)。

CRL とルート証明書によって証明書を検証する方法を提案していただけますか?

spring security と cxf の使用はどう<jaxws:inInterceptors>ですか? チュートリアルがまだ見つかりません

PROGRESS 独自のインターセプターを作成しようとしています:

今のところ問題は、純粋なJavaなど、可能な方法で証明書を検証することです..