在Java中实现ws-security UsernameToken的密码摘要

Question

我正试图从一个服务器调用ws-security安全的Web服务，不幸的是，该服务器本机不支持此功能。我采取的方法是实施一个。jsp作为实际endpointURL的反向代理，在添加带有ws-security元素的元素的过程中。

这似乎运行得很好，我相信我已经用正确的命名空间正确地构建了XML。我已经通过比较XML和SOAP-UI产生的XML来验证了这一点。

问题是在实现密码摘要生成器时。我没有得到与SOAP-UI相同的结果，使用相同的输入用于NOne、xsd： dateTime和密码以及下面的代码。

StringBuffer passwordDigestStr_ = new StringBuffer();

// First append the NOnce from the SOAP header
passwordDigestStr_.append(Base64.decode("PzlbwtWRpmFWjG0JRIRn7A=="));

// Then append the xsd:dateTime in UTC timezone
passwordDigestStr_.append("2012-06-09T18:41:03.640Z");

// Finally append the password/secret
passwordDigestStr_.append("password");

System.out.println("Generated password digest: " + new String(com.bea.xbean.util.Base64.encode(org.apache.commons.codec.digest.DigestUtils.sha(passwordDigestStr_.toString())), "UTF-8"));

我认为问题在于实现前两个元素的散列，如http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0.pdf

请注意，nonce使用其解码值的八位字节序列进行散列，而时间戳使用其UTF8编码的八位字节序列进行散列，如元素内容中所指定。

如果有人能帮我解决这个问题，那就太好了，因为它开始让我发疯了！如果你能提供源代码，那就太理想了。

Answer 1

对于延迟回复表示歉意，尤其是考虑到您最初的快速回复。我现在已经能够利用你的方法的精髓来避免任何字符编码问题。然而，java。尼奥。ByteBuffer引起了我的问题，所以我修改了代码，使用基本的字节[]s，我使用系统组合了这些字节。arrayCopy（）。我面临的问题是java。尼奥。ByteBuffer是这样的，尽管“buf”。position（）'返回适当数量的字节，所有注入byte[]的字节通过buf进行散列。get（toHash）0！

非常感谢你的帮助。

Answer 2

我将在没有SOAP-UI的情况下尝试一下。散列函数的输入应该是字节，而不是字符串<代码>摘要。sha（）将允许您使用字符串，但该字符串必须正确编码。编写nonce时，调用的是StringBuffer。append（Object）最终调用byte[]。toString（）。这会给你一些类似于[B@3e25a5，绝对不是你想要的。通过到处使用字节，您应该避免这个问题。请注意，下面的示例使用了org。阿帕奇。平民编解码器。二进制的Base64，而不是您使用的Base64类。没关系，那只是我手边的一个。

ByteBuffer buf = ByteBuffer.allocate(1000);
buf.put(Base64.decodeBase64("PzlbwtWRpmFWjG0JRIRn7A=="));
buf.put("2012-06-09T18:41:03.640Z".getBytes("UTF-8"));
buf.put("password".getBytes("UTF-8"));
byte[] toHash = new byte[buf.position()];
buf.rewind();
buf.get(toHash);
byte[] hash = DigestUtils.sha(toHash);
System.out.println("Generated password digest: " + Base64.encodeBase64String(hash));