是否为WebServices启用SSL“相互身份验证”并为GUI启用“单向身份验证”？

Question

我需要对Web服务（SOAP）应用SSL“相互身份验证”和对网页应用“单向身份验证”，以避免浏览器中存在证书。对于informationg，GUI和SOAP Webservices位于同一个war模块中。

我在Tomcat容器级别使用了SSL相互身份验证：

<Connector port="8443" protocol="HTTP/1.1" connectionTimeout="20000" 
SSLEnabled="true"
scheme="https"
secure="true"
clientAuth="true"
sslProtocol="TLS"
keystoreFile="D:\certificates\demo-keystore"
keystorePass="xxxxxxxx"
truststoreFile="D:\certificates\demo-truststore"
truststorePass="xxxxxxxx"/>

• clientAuth=“true”意味着在接受连接之前，客户端（从浏览器和web服务使用者）应该提供有效的证书链。我知道，通过使用clientAuth=“false”，然后使用WSS4J拦截器在消息级别应用WS-Security，可以将SSL连接器配置为不需要来自客户端的证书链，但我想知道是否有其他解决方案

提前谢谢你。

Answer 1

基于Tomcat留档关于clientAuth属性：

如果希望SSL堆栈在接受连接之前需要来自客户端的有效证书链，请设置为true。如果希望SSL堆栈请求客户端证书，请将其设置为want，但如果未提供客户端证书，则不会失败。假值（默认值）将不需要证书链，除非客户端请求受使用client-CERT身份验证的安全约束保护的资源。

我将clientAuth设置为“false”并在WEB-INF/web.xml.中配置了CLIENT-CERT身份验证，这将需要具有url模式 /ws/*的Web服务的客户端证书：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>CXFServlet</web-resource-name>
        <url-pattern>/ws/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

<login-config>
    <auth-method>CLIENT-CERT</auth-method>
</login-config>

Answer 2

您可以使用APR连接器，它对许多SSL设置具有不同的属性，并配置SSLVerifyClient

<!-- Define a SSL Coyote HTTP/1.1 Connector on port 8443 -->
<Connector
       protocol="org.apache.coyote.http11.Http11AprProtocol"
       port="8443" maxThreads="200"
       scheme="https" secure="true" SSLEnabled="true"
       SSLCertificateFile="/usr/local/ssl/server.crt" 
       SSLCertificateKeyFile="/usr/local/ssl/server.pem"
       SSLVerifyClient="optional" SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"/>

SSLVerifyClient的可用选项是

向客户端请求证书。默认值为“无”，这意味着客户端将没有机会提交证书。其他可接受的值包括“可选”、“需要”和“可选NOCA”。

如果将其配置为可选，则GUI无法显示证书（因为不是强制的）。要确保客户端证书已与Web服务一起提供，请检查是否存在javax。servlet。要求HttpServletRequest中的X509证书