Web Service安全（一）——Basic验证

Web Service 安全是指保护 Web Service 不受恶意攻击和非法访问的一系列措施。其中，Basic 验证是最简单的一种身份验证方式，也是最常用的一种。

Basic 验证的原理是在 HTTP 头部中添加一个 Authorization 字段，该字段包含一个经过编码的用户名和密码。在服务端接收到请求后，会验证该用户名和密码是否正确，如果正确，则允许访问 Web Service，否则拒绝访问。

下面是一个使用 Basic 验证的 Web Service 的示例：

<definitions name="HelloWorld"
  targetNamespace="http://www.example.org/HelloWorld"
  xmlns="http://schemas.xmlsoap.org/wsdl/"
  xmlns:soap="http://schemas.xmlsoap.org/wsdl/soap/"
  xmlns:tns="http://www.example.org/HelloWorld"
  xmlns:xsd="http://www.w3.org/2001/XMLSchema">

  <types>
    <xsd:schema targetNamespace="http://www.example.org/HelloWorld">
      <xsd:element name="sayHello" type="xsd:string"/>
      <xsd:element name="sayHelloResponse" type="xsd:string"/>
    </xsd:schema>
  </types>

  <message name="sayHelloRequest">
    <part name="name" type="xsd:string"/>
  </message>

  <message name="sayHelloResponse">
    <part name="greeting" type="xsd:string"/>
  </message>

  <portType name="HelloWorld">
    <operation name="sayHello">
      <input message="tns:sayHelloRequest"/>
      <output message="tns:sayHelloResponse"/>
    </operation>
  </portType>

  <binding name="HelloWorldSoapBinding" type="tns:HelloWorld">
    <soap:binding style="document" transport="http://schemas.xmlsoap.org/soap/http"/>
    <operation name="sayHello">
      <soap:operation soapAction=""/>
      <input>
        <soap:header message="tns:sayHelloRequest" part="Authorization" use="required"/>
        <soap:body use="literal"/>
      </input>
      <output>
        <soap:body use="literal"/>
      </output>
    </operation>
  </binding>

  <service name="HelloWorld">
    <port name="HelloWorldPort" binding="tns:HelloWorldSoapBinding">
      <soap:address location="http://localhost:8080/HelloWorld"/>
    </port>
  </service>

</definitions>

在上面的示例中，我们在 `<binding>` 标签中定义了一个 Authorization 头部，它的 use 属性设置为 required，表示该头部是必须的。这个头部包含了一个经过用户名和密码编码的字符串。

在服务端，我们需要在代码中对该 Authorization 头部进行解码，然后验证用户名和密码是否正确。如果正确，则允许访问 Web Service，否则拒绝访问。下面是一个使用 Java 代码实现的 Basic 验证的示例：

public class HelloWorldImpl implements HelloWorld {

  @Override
  public String sayHello(String name) {
    String auth = (String) wsContext.getMessageContext().get(MessageContext.HTTP_REQUEST_HEADERS).get("Authorization").get(0);
    String[] parts = auth.split(" ");
    byte[] decoded = Base64.getDecoder().decode(parts[1]);
    String credentials = new String(decoded);
    String[] credentialParts = credentials.split(":");
    String username = credentialParts[0];
    String password = credentialParts[1];

    if (username.equals("admin") && password.equals("password")) {
      return "Hello, " + name + "!";
    } else {
      throw new RuntimeException("Unauthorized access");
    }
  }

}

在上面的代码中，我们首先从 MessageContext 中获取 Authorization 头部，然后对该头部进行解码。解码后得到的是一个用户名和密码的字符串，我们再对该字符串进行拆分，得到用户名和密码。最后，我们根据用户名和密码的正确性来决定是否允许访问 Web Service。

需要注意的是，Basic 验证并不是一种安全性很高的身份验证方式。因为它使用明文传输用户名和密码，所以容易被窃取。因此，在实际应用中，我们通常会使用更加安全的身份验证方式，比如 Digest 验证或 SSL/TLS 验证。