SOAP安全性模型的设计与实现

Web服务在Web协议和XML标准上，提供了一个系统化，可扩展化的企业应用交互的框架。随着Web服务在电子商务等领域的不断发展，其安全性也越来越显示其重要性。SOAP作为Web服务通信协议的基础，在实现Web服务安全性的工程中扮演着及其重要的角色。SOAP的设计思想是通过现有的标准和协议来建立一个简单的可扩展的应用框架。本文也试图遵循这个思想，使用现有的安全技术来设计和实现一个SOAP安全性模型。 我们首先定义了SOAP安全性的5项安全性需求：机密性、完整性、不可否认性、身份验证和授权，然后具体分析了现有的传输层安全技术(如防火墙、SSL／TLS和HTTP身份验证)和应用层安全技术(XML加密和XML数字签名)所能提供的安全保证及其不足，最后提出了结合传输层和应用层安全技术的SOAP安全性模型，并针对SOAP安全性要求分析了该模型的安全性。 在模型的实现中主要讨论了应用层安全性的实现。我们从企业应用现状出发，使用EJB组件技术构造XML安全组件，进一步扩展XML安全技术，形成了新的XML安全处理模型。通过对SOAP引擎对SOAP消息的处理机制的分析，我们定义了一系列与XML安全性相关的Handler，通过对SOAP引擎中Handler链的配置，使得XML安全组件和SOAP能无缝的结合在一起。最后在实现模型中介绍了如何配置传输层的安全性。 最后，本文对SOAP安全性模型进行了总结，提出了其缺陷与不足，指出了在日后工作中亟待解决的问题。在对未来的展望中本文还介绍了工业界的两个规范草案，相信随着Web服务安全性规范的不断推出与完善，Web服务必将获得更加广泛的应用。