Una volta creati i nostri servizi ci preoccuperemo di applicare delle policy di sicurezza al fine impedirne l’utilizzo a utenti non autorizzati<\/p>\n
Le policy di sicurezza si basano su 3 aspetti:<\/p>\n
Implementando meccanismi di autenticazione si limita l’accesso ad utenti conosciuti dal sistema, con l’utilizzo della firma si certifica un contenuto e con la crittografia si trasforma il flusso di dati in un flusso impossibile da leggere senza l’opportuna chiave.<\/p>\n
Nell’articolo di oggi vedremo gli strumenti che offre Spring-ws per gestire l’autenticazione.<\/p>\n
Spring-ws mette a disposizione 2 implementazioni dell’interfaccia Interceptor:<\/p>\n
<xwss:SecurityConfiguration dumpMessages=\"false\" \r\nxmlns:xwss=\"http:\/\/java.sun.com\/xml\/ns\/xwss\/config\">\r\n<xwss:RequireUsernameToken \u00a0\r\npasswordDigestRequired=\"false\" nonceRequired=\"false\"\/>\r\n<\/xwss:SecurityConfiguration><\/pre>\nStiamo dicendo al nostro modulo che ogni richiesta per essere accettata deve contenere il token UsernameToken, che la password non deve essere crittografata e che non \u00e8 richiesto il nonce. Per maggiori dettagli sugli attributi del token Username rimando alle\u00a0specifiche<\/a>\u00a0di SUN. Per informazioni sul Nonce ripassate concetti di crittografia.<\/p>\n<\/div>\n
A questo punto definiamo l’interceptor e le sue regole<\/div>\n<\/div>\n\n<bean id=\"wsSecurityInterceptor\"\r\nclass=\"org.springframework.ws.soap.security.xwss.XwsSecurityInterceptor\">\r\n<property name=\"policyConfiguration\" value=\"classpath:securityPolicy.xml\"\/>\r\n<property name=\"callbackHandlers\">\r\n<list>\r\n<ref bean=\"passwordValidationHandler\"\/>\r\n<\/list>\r\n<\/property>\r\n<\/bean>\r\n<bean id=\"passwordValidationHandler\"\r\n\u00a0class=\"org.springframework.ws.soap.security.xwss.\r\ncallback.SimplePasswordValidationCallbackHandler\">\r\n\u00a0<property name=\"users\">\r\n\u00a0<props>\r\n\u00a0<prop key=\"Valerio\">Finazzo<\/prop>\r\n\u00a0<\/props>\r\n\u00a0<\/property>\r\n<\/bean><\/pre>\nIl nostro interceptor carica le regole da applicare dal file di policy definito precedentemente, mentre con il bean passwordValidationHandler definiamo gli utenti che possono accedere ai nostri servizi, in questo caso username\/password Valerio\/Finazzo<\/p>\n<\/div>\n
Qualora nella nostra richiesta non sia presente il token usernameToken il server genera un FAULT specificando l’errore.<\/div>\nPer testare quanto fatto consiglio SoapUi con cui potete creare agevolmente le request e aggiungere gli header per la sicurezza, ottenendo qualcosa del genere<\/div>\n<\/div>\n\n<soapenv:Envelope \r\nxmlns:sch=\"http:\/\/www.example.org\/schema\" \r\nxmlns:soapenv=\"http:\/\/schemas.xmlsoap.org\/soap\/envelope\/\">\r\n<soapenv:Header><wsse:Security \r\nxmlns:wsse=\"http:\/\/docs.oasis-open.org\/wss\/2004\/01\/oasis-200401-wss-wssecurity-secext-1.0.xsd\">\r\n<wsse:UsernameToken wsu:Id=\"UsernameToken-14\" \r\nxmlns:wsu=\"http:\/\/docs.oasis-open.org\/wss\/2004\/01\/oasis-200401-wss-wssecurity-utility-1.0.xsd\">\r\n<wsse:Username>Valerio<\/wsse:Username>\r\n<wsse:Password \r\nType=\"http:\/\/docs.oasis-open.org\/wss\/2004\/01\/oasis-200401-wss-username-token-profile-1.0#PasswordText\">\r\nFinazzo<\/wsse:Password>\r\n<\/wsse:UsernameToken><\/wsse:Security>\r\n<\/soapenv:Header>\r\n<soapenv:Body>\r\n<sch:RicercaLibroRequest>\r\n<!--Optional:-->\r\n<sch:titolo>?<\/sch:titolo>\r\n<!--Optional:-->\r\n<sch:nome>?<\/sch:nome>\r\n<!--Optional:-->\r\n<sch:cognome>?<\/sch:cognome>\r\n<\/sch:RicercaLibroRequest>\r\n<\/soapenv:Body>\r\n<\/soapenv:Envelope><\/pre>\nNel prossimo articolo vedremo tecniche pi\u00f9 avanzate per gestire l’autenticazione.<\/p>\n<\/div>\n
\n","protected":false},"excerpt":{"rendered":"
Una volta creati i nostri servizi ci preoccuperemo di applicare delle policy di sicurezza al fine impedirne l’utilizzo a utenti non autorizzati Le policy di sicurezza si basano su 3 aspetti: l’autenticazione la firma la crittografia Implementando meccanismi di autenticazione si limita l’accesso ad utenti conosciuti dal sistema, con l’utilizzo della firma si certifica un … Continua la lettura di SPRING WS – TUTORIAL 8 – AUTENTICAZIONE<\/span>