Apache Rampart WS-Security：一个客户端，多个服务实例

Question

我正在将 X.509 相互证书身份验证添加到项目中。这里的具体情况是一个客户端（比如说manager）可以访问多个服务实例（servers）。每个server 都有自己的证书。在客户端提供policy.xml 配置时，<encryptionUser> 应设置为存储在客户端信任库中的服务器别名证书。当server 只有一个时这不是问题，但是当客户端需要访问特定的server 时，应该使用适当的server 的公钥进行加密，所以我需要从信任库中提供一个正确的别名。 我正在考虑以编程方式更改每个请求的 Rampart 配置以设置特定的别名，但这看起来不是正确的方法。 我在这里寻找一种标准方法，或者，也许，在policy.xml 中配置它的某种方式 我的客户（manager's）来自policy.xml 的Rampart 配置部分如下

<ramp:RampartConfig xmlns:ramp="http://ws.apache.org/rampart/policy">
   <ramp:userCertAlias>client</ramp:userCertAlias>
   <!-- This should be dynamic -->
   <ramp:encryptionUser>server</ramp:encryptionUser>
   <ramp:passwordCallbackClass>PasswordProvider</ramp:passwordCallbackClass>
   <ramp:signatureCrypto>
       <ramp:crypto provider="MerlinCrypto"/>
   </ramp:signatureCrypto>
   <ramp:encryptionCrypto>
       <ramp:crypto provider="MerlinCrypto"/>
   </ramp:encryptionCrypto>
</ramp:RampartConfig>

Answer 1

通过以编程方式将encryptionUser 参数设置为已解析并构建（来自policy.xml）RampartConfig 对象内的Policy 对象，解决了此问题。 从配置文件中构建Policy对象，然后遍历Assertions，在其中找到RamparConfig对象并设置属性。

String encrUser = "myEncrUser";
try (InputStream is = new FileInputStream("policy.xml")) {
    OMXMLParserWrapper omBuilder = OMXMLBuilderFactory.createOMBuilder(is);
    Policy policy = PolicyEngine.getPolicy(omBuilder.getDocumentElement());
    for (Iterator<List<Assertion>> assrItr = policy.getAlternatives(); assrItr.hasNext(); ) {
        List<Assertion> assr = assertionsIterator.next();
        assr.stream().filter(RampartConfig.class::isInstance)
            .findFirst().map(RampartConfig.class::cast)
            .ifPresent(cfg -> cfg.setEncryptionUser(encrUser));
    }
} catch (IOException e) {
    // ...
}

这里的客户端应用程序需要为每个服务配置axis2客户端对象，但在我的情况下这很好。

Answer 2

如果您替换当前的加密用户

<ramp:encryptionUser>server</ramp:encryptionUser>

与

<ramp:encryptionUser>useReqSigCert</ramp:encryptionUser>

那么用于签署请求消息的证书将被自动用于加密响应消息

Source