CXF加密密码的WS-security(用户名令牌)是可能的

Question

我正在尝试与CXF的WS安全性实现（usernametoken）结合起来。我已经按照在http://cxf.apache.org/docs/ws-security.html.我的PasswordCallbackHandler似乎在工作，但困扰我的是一部分：

    if (pc.getIdentifier().equals("joe")) {
        // set the password on the callback. This will be compared to the
        // password which was sent from the client.
        pc.setPassword("password");
    }

如所述

请注意，对于CXF2.3.x及以下版本，纯文本密码（或任何其他未知密码类型）的特殊情况的密码验证将委托给回调类，请参阅WSS4J项目的org.apache.ws.security.producter.UsernameTokenProcessor#handleUsernameToken（）方法javadoc。在这种情况下，ServerPasswordCallback应该类似于以下内容：

所以直到cxf 2.3.x，它都是像一样完成的

   if (pc.getIdentifer().equals("joe") {
       if (!pc.getPassword().equals("password")) {
            throw new IOException("wrong password");
       }
    }

我的问题是：我不想pc.setPassword（"plainTextPassword"），因为我想把它存储在任何资源中。这种高达2.3.x的设计允许我这样做，因为我可以手动加密它。有没有任何方法可以在回调中设置加密密码，或者对存储的加密密码进行用户名令牌身份验证？

我使用的是cxf 2.5.x

Answer 1

答案（我已经尝试过了）在这个博客页面中找到：

http://coheigea.blogspot.com/2011/06/custom-token-validation-in-apache-cxf.html

其本质是创建org.apache.ws.security.validate.UsernameTokenValidator的子类，并覆盖verifyPlentextPassword方法。在该方法中，传递UsernameToken（提供getName和getPassword）。如果它们无效，则引发异常。

要在弹簧配置中安装自定义验证器，请添加例如

  <jaxws:properties>
    <entry key="ws-security.ut.validator">
        <bean class="com.example.webservice.MyCustomUsernameTokenValidator" />
    </entry>
  </jaxws:properties>

进入<jaxws:endpoint/>。

Answer 2

回调处理程序用于提供明文密码或验证明文密码已知的摘要密码。

但是，如果你不知道明文，即它的单向散列，那么回调接口是不合适的，你应该创建一个实现Validator接口的类。

以下是我的接口示例实现，该接口使用JPA存储库，其中密码已存储为BCrypt哈希。

与此处记录的ws-security.ut.validator属性一起使用

即作为CXF属性<entry key="ws-security.ut.validator" value-ref="com.package.CustomUsernameTokenValidator" />

public class CustomUsernameTokenValidator implements Validator {
    @Autowired
    ProfileRepository profileRepository;
    @Override
    public Credential validate(Credential credential, RequestData requestData) throws WSSecurityException {
        Profile profile = profileRepository.findByName(credential.getUsernametoken().getName());
        if (profile != null) {
            if (BCrypt.checkpw(credential.getUsernametoken().getPassword(), profile.getPassword())) {
                return credential;
            }
        }
        throw new WSSecurityException(WSSecurityException.ErrorCode.FAILED_AUTHENTICATION);     
    }
}