使用X509服务器身份验证调用JAXWS Webservice的JAXWS客户端

Question

我使用wsdlc ANT任务从wsdl创建了一个JAXWS webservice，并部署在WebLogic10.3.0中。我们有Sun one Java Server 7.0，其中安装了Verisign服务器证书，并将其配置为将webservice请求转发到weblogic。

我使用wsimport ant任务创建了一个JAXWS客户机来调用the服务。当使用https URL运行客户端时，我可以在weblogic中看到xml请求，并且成功地处理了webservice。但是我在xml请求/响应中找不到任何x509证书的证据。除了使用wsimport生成存根之外，我还需要在客户端做些什么吗？仅供参考通过浏览器查看wsdl时，我可以通过浏览器查看证书详细信息。

Answer 1

你通过HTTPS连接到WebService，你的客户端和服务器进行x509证书交换。这是在连接层执行的操作，wsimport与此无关。如果您希望在该级别上使用x509证书，则需要深入研究Java HTTPS client certificate authentication / Java client for the X.509 secured web-service和服务器端Securing WebLogic Server: Configuring SSL。

或者，您可以向下一层:使用HTTP协议连接到服务器，并在SOAP级别上执行加密/签名/身份验证。然后参考用于Metro/JAX-WS服务的User authenticate in SOAP或Using JAX-WS-Based Web Services with SSL，用于Apache CXF的WS-Security，用于Spring Security的Spring Security With X.509 Certificate -取决于您将选择的框架。

Answer 2

我可以使用-Djavax.net.debug=all验证SSL握手。我没有修改我的客户端以包含信任库，如果证书是由信任的CA签名的，则不需要它。