有关 WS-Security 和实现的详细信息

Question

我在某处读到 WS-Security 规范（在 JAX-WS 中）涉及三个主要关注领域：

1. 安全令牌验证（身份验证）
2. 消息完整性（签名）
3. 消息机密性（加密和解密）

问题：1

数字 1 可以使用 WSS4j 实现。我正在寻找如何实现 #2 和 #3 的方法，或者 WSS4J 是否也处理它？如果是怎么办？

问题：2 这可以在 REST 中完成吗？或任何类似的东西。

谢谢，

Answer 1

是的，WSS4J 与 Apache CXF 等 SOAP 堆栈一起处理所有这些事情。网上有很多关于将 WS-Security 与 CXF 结合使用的内容。

是的，它也可以为 REST 完成。消息完整性和机密性可以使用 JWS/JWE 规范（顺便说一句由 CXF 实现）来完成，身份验证可以通过 OpenID Connect、SAML SSO、Kerberos、HTTP/BA 等完成。