使用WSE 3.0构建安全WebService教程

"Web Services Enhancements 3.0 (WSE) 是微软提供的一种扩展工具，用于增强ASP.NET Web服务的功能，特别是在安全性、可靠性和事务处理方面。它旨在保持Web服务的互操作性，同时避免增加不必要的复杂性。本文档将引导用户如何使用WSE 3.0创建一个安全的Web服务，主要涉及安全证书（Policy File）的定义和使用，以及SOAP头的类型选择。" 在Web Services Enhancements 3.0 (WSE 3.0) 中，主要目标是构建能够满足企业级需求的Web服务，这些需求包括安全性、可靠性和事务处理。WSE 3.0的设计理念是保留Web服务的互操作性，并尽可能地简化实现复杂性。 为了构建安全的Web服务，首先需要定义一个安全证书，即Policy File。Policy File用于定义Web服务的安全策略，包括哪些类型的客户端可以访问服务，以及如何验证这些客户端的身份。在Visual Studio 2005中创建一个新的Web服务项目后，需要运行WSE Settings 3.0 Tool来编辑`web.config`文件，启用该项目对WSE的支持。 在WSE Settings 3.0 Tool中，选择启用Policy并添加新的策略，如ServicePolicy。接下来，用户需要选择服务的安全类型，这通常包括四种选项： 1. Anonymous - 允许匿名访问。 2. Username - 需要用户提供用户名和密码（Username token）的安全令牌。 3. Certificate - 需要客户端发送包含X509SecurityToken的X.509证书进行身份验证。 4. Windows - 使用Kerberos Token的Windows身份验证，适用于内部网络环境。 选择完安全类型后，还要决定SOAP头的加密和签名方式，以确保数据的完整性和保密性。不同选项包括： 1. None - 消息仅在传输层（如SSL）提供保护，WSE不在传输层提供额外保护。 2. Sign-Only - 消息必须被签名，但不加密。 3. Sign and Encrypt - 消息必须被签名且消息体加密，确保数据不被篡改且私密。 4. Sign, Encrypt, Encrypt - 更高级别的保护，消息必须签名、消息体签名加密，且整个消息包被加密。 完成这些设置后，WSE会自动生成相应的配置文件，这些配置将指导Web服务如何处理和验证请求，从而提供所需的安全性。配置文件中的`<policies>`、`<extensions>`等元素定义了策略和扩展，确保了Web服务按照设定的规则运行。 总结来说，WSE 3.0提供了一套工具和方法，帮助开发者创建符合企业级安全标准的Web服务，通过Policy File定义安全策略，并利用SOAP头的加密和签名机制保护数据。这些功能对于开发人员在构建健壮、安全的Web服务时是至关重要的。