SOAP 中的 Web 服务安全性答案

【问题标题】：Web service security in SOAPSOAP 中的 Web 服务安全性
【发布时间】：2015-08-30 17:28:00
【问题描述】：

为什么 SOAP 协议会引入 XML 加密和数字签名的概念（以保证客户端和服务器之间交换的数据的机密性和完整性），而关于安全性（完整性、机密性和身份验证）的一切只用HTTPS协议就可以保证？

【问题讨论】：

HTTPS 仅在端到端时保证它们。您可以在更复杂的 SOAP 设置中使用中介，例如ESB
但是为什么不在中介之间使用https协议呢？我想知道为什么 SOAP 选择中介之间的 XML 加密和数字签名，而我们可以使用 https 代替？另一个问题，为什么 SOAP 协议被称为比 REST 协议更安全，尽管使用 REST 我们可以使用 https 作为保证机密性、完整性和身份验证的安全传输层？
如果您对消息进行签名和加密，端点不必信任中介

【解决方案1】：

主要是因为 SOAP 是一种可以在除 https 之外的其他传输协议 (TCP/named pipes/MSMQ) 上使用的协议。这些不提供与 https 相同的保护。

此外，正如@artbristol 指出的那样，https 保护两个端点之间的消息。有关更多信息，请参阅 Vitorrio Bertocci 的article here。当然，您可以在所有端点之间使用 https，但是进行解密和加密的机器可以访问明文（例如，它可能会登录 Web 服务器日志）。

【讨论】：