[置顶] webservice的安全机制3---Filter

1.引言
前面讲了webservice的安全机制1和2，本节继续webservice的安全之旅，

本节采用servlet的Filter的来实现对webservice的安全访问。

在调用webservice之前，过滤器会拦截匹配的请求，只有满足安全要求的客户端才能访问webservice服务。



2.项目环境
system：win7 myeclipse：6.5 tomcat：5.0

JDK：开发环境1.5，编译环境1.4

axis：1.4

3.示例代码
（1）配置文件
web.xml

 <?xml version="1.0" encoding="UTF-8"?>  <web-app version="2.4"       xmlns="http://java.sun.com/xml/ns/j2ee"       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"       xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee       http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd">           <!-- 配置webservice的处理类 -->         <servlet>             <servlet-name>AxisServlet</servlet-name>             <servlet-class>                 org.apache.axis.transport.http.AxisServlet             </servlet-class>         </servlet>         <servlet-mapping>             <servlet-name>AxisServlet</servlet-name>             <url-pattern>/services/*</url-pattern>         </servlet-mapping>           <!--配置IP地址的过滤器 -->         <filter>             <filter-name>WebServiceFilter</filter-name>             <filter-class>server.filter.WebServiceFilter</filter-class>         </filter>         <filter-mapping>             <filter-name>WebServiceFilter</filter-name>             <url-pattern>/services/*</url-pattern>         </filter-mapping>    </web-app>

server-config.wsdd

 <?xml version="1.0" encoding="UTF-8"?>  <deployment xmlns="http://xml.apache.org/axis/wsdd/"      xmlns:java="http://xml.apache.org/axis/wsdd/providers/java">      <globalConfiguration>          <parameter name="sendMultiRefs" value="true" />          <parameter name="disablePrettyXML" value="true" />          <parameter name="adminPassword" value="admin" />          <parameter name="attachments.Directory"              value="D:tomcat5webappsWebServiceWEB-INFattachments" />          <parameter name="dotNetSoapEncFix" value="true" />          <parameter name="enableNamespacePrefixOptimization"              value="false" />          <parameter name="sendXMLDeclaration" value="true" />          <parameter name="sendXsiTypes" value="true" />          <parameter name="attachments.implementation"              value="org.apache.axis.attachments.AttachmentsImpl" />          <requestFlow>              <handler type="java:org.apache.axis.handlers.JWSHandler">                  <parameter name="scope" value="session" />              </handler>              <handler type="java:org.apache.axis.handlers.JWSHandler">                  <parameter name="scope" value="request" />                  <parameter name="extension" value=".jwr" />              </handler>          </requestFlow>      </globalConfiguration>      <handler name="LocalResponder"          type="java:org.apache.axis.transport.local.LocalResponder" />      <handler name="URLMapper"          type="java:org.apache.axis.handlers.http.URLMapper" />      <handler name="Authenticate"          type="java:org.apache.axis.handlers.SimpleAuthenticationHandler" />      <service name="AdminService" provider="java:MSG">          <parameter name="allowedMethods" value="AdminService" />          <parameter name="enableRemoteAdmin" value="false" />          <parameter name="className" value="org.apache.axis.utils.Admin" />          <namespace>http://xml.apache.org/axis/wsdd/</namespace>      </service>      <service name="Version" provider="java:RPC">          <parameter name="allowedMethods" value="getVersion" />          <parameter name="className" value="org.apache.axis.Version" />      </service>        <transport name="http">          <requestFlow>              <handler type="URLMapper" />              <handler                  type="java:org.apache.axis.handlers.http.HTTPAuthHandler" />          </requestFlow>          <parameter name="qs:list"              value="org.apache.axis.transport.http.QSListHandler" />          <parameter name="qs:wsdl"              value="org.apache.axis.transport.http.QSWSDLHandler" />          <parameter name="qs.list"              value="org.apache.axis.transport.http.QSListHandler" />          <parameter name="qs.method"              value="org.apache.axis.transport.http.QSMethodHandler" />          <parameter name="qs:method"              value="org.apache.axis.transport.http.QSMethodHandler" />          <parameter name="qs.wsdl"              value="org.apache.axis.transport.http.QSWSDLHandler" />      </transport>      <transport name="local">          <responseFlow>              <handler type="LocalResponder" />          </responseFlow>      </transport>                      <!-- 配置自己的服务 -->      <service name="HelloService" provider="java:RPC">          <parameter name="allowedMethods" value="*" />          <parameter name="className"              value="server.service.HelloServiceImpl" />        </service>    </deployment>

（2）服务端代码
HelloServiceImpl.java---webservice服务端

 package server.service;    public class HelloServiceImpl {        public String hello(String s) {          return "hello," + s;      }  }

WebServiceFilter.java---Filter过滤器

 package server.filter;    import java.io.IOException;    import javax.servlet.Filter;  import javax.servlet.FilterChain;  import javax.servlet.FilterConfig;  import javax.servlet.ServletException;  import javax.servlet.ServletRequest;  import javax.servlet.ServletResponse;  import javax.servlet.http.HttpServletRequest;    public class WebServiceFilter implements Filter {            //不允许访问webservice服务的IP地址      static final String[] deniedIPList=new String[]{"192.168.1.12"};            public boolean isIPDenied(String ipAddr){        if(deniedIPList.length==0)            return false;        for(int i=0;i<deniedIPList.length;i++){            if(deniedIPList[i].equals(ipAddr)){                return true;            }        }        return false;      }        public void destroy() {        }        public void doFilter(ServletRequest req,ServletResponse res,FilterChain chain) throws IOException,ServletException {          HttpServletRequest request=(HttpServletRequest) req;                    String clientIP=request.getRemoteHost();          System.out.println("客户端IP："+clientIP);                    System.out.println("开始过滤...");                    if(isIPDenied(clientIP)){              throw new ServletException("你没有权限调用此webservice！");          }else{              chain.doFilter(req,res);          }        }        public void init(FilterConfig arg0) throws ServletException {        }    }

（3）客户端代码
Test.java---客户端动态调用的代码

 package client;    import java.net.URL;    import javax.xml.rpc.ParameterMode;    import org.apache.axis.client.Call;  import org.apache.axis.encoding.XMLType;    public class Test {            public static void main(String args[]) throws Exception{          webservice_user();      }            public static void webservice_user() throws Exception {                    // 1.创建service对象，通过axis自带的类创建          org.apache.axis.client.Service service = new org.apache.axis.client.Service();            // 2.创建url对象          String wsdlUrl = "http://localhost:8080/WebService08_Security/services/HelloService?wsdl";// 请求服务的URL          URL url = new URL(wsdlUrl);// 通过URL类的构造方法传入wsdlUrl地址创建URL对象            // 2.创建服务方法的调用者对象call，设置call对象的属性          Call call = (Call) service.createCall();          call.setTargetEndpointAddress(url);// 给call对象设置请求的URL属性          String serviceName = "hello";// webservice的方法名          call.setOperationName(serviceName);// 给call对象设置调用方法名属性          call.addParameter("s",XMLType.XSD_STRING,ParameterMode.IN);// 给call对象设置方法的参数名、参数类型、参数模式          call.setReturnType(XMLType.SOAP_STRING);// 设置调用方法的返回值类型  //         call.setTimeout(new Integer(200));//设置超时限制                    //---------------------------------------------------------------------------------------          //此处的用户名和密码对应WEB-INF目录下users.lst文件中的用户名和密码  //        call.getMessageContext().setUsername("pantp");  //        call.getMessageContext().setPassword("123456");          //---------------------------------------------------------------------------------------                    // 4.通过invoke方法调用webservice          String str=new String("pantp");          System.out.println("开始调用webservice服务.....");          String dept = (String) call.invoke(new Object[] { str });// 调用服务方法          System.out.println("结束调用webservice服务.....");            // 5.打印返回结果          System.out.println("返回结果如下："+dept);  }    }

4.安全测试
(1)正常测试(本机IP地址不在受限IP之内)
浏览器中输入wsdl地址测试：

运行Test客户端测试：

客户端日志：

服务端日志：

(2)受限测试(本机IP地址在受限IP之内)

? ? ?修改WebServiceFilter类中deniedIPList数组所在的一行代码，加入IP地址127.0.0.1，然后重新发布项目；

? ? ?修改后数组IP地址如下：

static final String[] deniedIPList=new String[]{"192.168.1.12","127.0.0.1"};

浏览器中输入wsdl地址测试：

运行Test客户端测试：

客户端日志：

服务端日志：

?

5.总结

至此，webservice的安全相关的文章就已经介绍完了；

以上都是webservice安全方面比较简单的实现措施。

更多的欢迎各位的探讨。