Webサービスを介したバイナリデータの送信とWS-Securityの使用

Question

Webサービススタックを使用してバイナリデータを転送する必要があり、その過程でWebサービス要求/応答に署名する必要があります。

主な質問は、これを行うにはどのような方法がありますか？

MTOMとWS-Securityを使用する必要がありますか？ からISSUE CXF-1904 MTOMとWS-Securityを使用するときに問題があると判断しました。 CXFとaxis2はWSS4Jを使用しています.WSS4Jは、MTOMを使用するとデジタル署名されたメッセージでうまく動作しないようです。

他のWebサービススタックはどうですか？

Answer 1

：

WSS4J 2.0.0添付ファイル（SWA）1.1仕様をプロファイルでSOAPを介して、署名とSOAPメッセージの添付ファイルを暗号化するためのサポートを導入します。 WSS4J 1.6.xでは、メッセージ添付ファイルの署名または暗号化をサポートしていません。添付ファイルは、以下のセクションで説明するように、「アクション」ベースのアプローチまたはWS-SecurityPolicyを介して、WSS4Jで署名および暗号化することができます。

Answer 2

データをbyte[]として送信してください。大量のデータがある場合、WCFはMTOMをサポートします。

なし WSEを使用する必要があります。 WSEは、ASMX Webサービスの上位に基づいています。マイクロソフトは、ASMXテクノロジは「レガシー」であり、バグを修正することはないと述べています。さらに悪いことに、WSEはかなり時代遅れであり、WCFに置き換えられました。

Answer 3

Apache CXF APIよりSpring-WSを使用することをお勧めします。かなり軽量で、文書化されており、使いやすくなっています。しかし、Spring-WSはJAX-WSに準拠していません（これは私の意見では悪いことではありませんが、あなたとは異なると思います）。

Spring-WSは軽くて、基本的なSOAP実装を取り巻く春にやさしいラッパーです.Sunの実装を使用することをお勧めしますが、Sun JAX-WSまたはApache CXFで動作するはずです。また、MTOMとWS-Securityの完全なサポート（Apache WSS4J経由）もあります。

Answer 4

CXFはMTOMと共にWS-Security関連の処理を行うことができますが、添付ファイルの署名または暗号化は終了しません。 SOAPメッセージ自体は署名/暗号化されていますが、添付ファイルはWSS4Jの制限のためではありません。

CXFでWSS4JOutInterceptorを使用する際に、セキュリティ上の理由から、デフォルトで、MTOMをオフにして、インライン化してから署名/暗号化を行うようにしています（ただし、SpringWSがWSS4Jを使用する場合は同じ制限があります）。それはセキュリティ上の選択です。 WSS4JOutInterceptorには、MTOMを添付ファイルとして残すことができるフラグ（out.setAllowMTOM（true））がありますが、これらの添付ファイルは「保護されていません」。 http://ws.apache.org/wss4j/attachments.htmlから