将 WS-Security 应用于原始 SOAP 有效负载

Question

使用基于 Java 的集成引擎（出于好奇，我很开心），我需要对通过引擎的 SOAP 有效负载进行签名。我所拥有的只是原始未签名的 SOAP XML 以及安装扩展和调用 Java API 的能力。

到目前为止，我的谷歌搜索还没有发现任何 API/框架可以有效地让我有效地设置 WS-Security 参数，然后将原始有效负载传递给它以进行签名。如果需要，安装提供此功能的 3rd 方 jar 不是问题。我查看了 Apache-CXF 和 JAX-WS，但据我所知，它们使用的是已存根的 Java 类，而不是原始有效负载。

我是否遗漏了一些明显的东西，或者我必须编写一个自定义的 WS-Security 实现？

Answer 1

WSS4J 库支持签署任何使用 DOM 或 STAX API 解析的 XML（无论是否有 SOAP 消息）。您可以在单元测试的source code 中找到示例（文件夹 ws-security-dom 用于 DOM API，ws-security-stax 用于 StaX API）。

例如，如果您使用的是 DOM API，CertificateStoreTest#testSignatureDirectReference() 的代码显示了如何签署 SOAPPart，它是将 SOAP 有效负载解析为 DOM 文档。