【发布时间】：2010-05-06 12:33:01
【问题描述】：
场景：服务器是带有 jax-ws 网络服务的 glassfish，客户端是基于 php 的
哪种类型的 Web 服务身份验证更适合基于 php 的客户端计算？
- HTTP 基本身份验证
- HTTPS 客户端身份验证
- 相互验证（是否支持？）
- 摘要式身份验证（是否支持？）
说明：
【问题讨论】：
标签： php authentication jakarta-ee jax-ws
【发布时间】：2010-05-06 12:33:01
【问题描述】：
没有。 1 over HTTPS 最兼容，易于在 PHP 中实现。不要在明确的 HTTP 上使用 #1。
不知道你说的 2 号和 3 号是什么意思，我觉得它们听起来一样。这可以通过 curl 完成。
没有。 CURL 也支持 4。
【讨论】：
无论您选择何种解决方案，都可以使用 HTTPS 发送敏感信息。所以：
- 不要
- 这会起作用，但是... 谁来提供证书？你会有多少客户？你能处理这个吗？而且，更复杂的是，您能否维护这个（随着时间的推移撤销证书等，这是最棘手的部分）？
- 参见 #2。
- 我不是粉丝。
也许看看 WS-Security UsernameToken（或基于 SOAP 标头的自定义解决方案）。我不是 PHP 专家，但某些 PHP 堆栈似乎（至少部分）支持 WS-Security。见：
【讨论】：
-
在开始时，我将拥有大约 5 个客户（但这个数字可能会增长到 40-60）.. 感谢您指出使用证书的棘手部分。我会看看 WS-Security，还不熟悉。。如果有人能指出一些好的教程或者官方的 j2ee 6 教程足够好，那就太好了？
-1- 不行，危险，可嗅
-2-4- 同级别
您应该考虑使用一些现代（且复杂）的标准，例如 OAuth
【讨论】：