第十八章 添加时间戳和用户名令牌

文章目录

第十八章 添加时间戳和用户名令牌

本主题讨论时间戳和用户令牌。

概述

时间戳是 WS-Security 标头中的 <Timestamp> 安全元素。严格来说,时间戳不是安全元素。但是,可以使用它来避免重放攻击。时间戳对于自定义日志记录也很有用。

用户名令牌是 WS-Security 标头中的 <UsernameToken> 安全元素;它带有用户名。它还可以带有相应的密码(可选为摘要形式)。通常使用它进行身份验证,即允许 IRIS Web 客户端使用需要密码的 Web 服务。

注意:默认情况下,WS-Security 标头元素以明文形式发送。要保护 <UsernameToken> 中的密码,应该使用 SSL/TLS、加密 <UsernameToken>(如其他地方所述),或者使用这些技术的某种组合。

添加时间戳

要将时间戳添加到 WS-Security 标头元素,请在 Web 客户端或 Web 服务中执行以下操作:

  1. 调用 %SOAP.Security.Timestamp的 Create() 类方法。此方法需要一个可选参数(以秒为单位的过期间隔)。默认过期间隔为 300 秒。例如:
java 复制代码
 set ts=##class(%SOAP.Security.Timestamp).Create()

此方法创建 %SOAP.Security.Timestamp 的实例,设置其 CreatedExpiresTimestampAtEnd 属性的值,并返回该实例。此实例表示 <Timestamp> 标头元素。

  1. 调用 Web 客户端或 Web 服务的 SecurityOut 属性的 AddSecurityElement() 方法。对于方法参数,请在创建的实例中使用 %SOAP.Security.Timestamp例如:
java 复制代码
 do client.SecurityOut.AddSecurityElement(ts)
  1. 发送 SOAP 消息。请参阅添加安全标头元素中的一般注释。

如果包含 <Timestamp> 元素,IRIS 会强制它位于 <Security> 中的第一个。

添加用户名令牌

要添加用户名令牌,请在 Web 客户端中执行以下操作:

  1. 可选择包含 %soap.inc 包含文件,它定义了可能需要使用的宏。
  2. 调用 %SOAP.Security.UsernameToken的 Create() 类方法。例如:
java 复制代码
 set user="SYSTEM"
 set pwd="_SYS" 
 set utoken=##class(%SOAP.Security.UsernameToken).Create(user,pwd)

该方法具有可选的第三个参数(类型),用于指定如何将密码包含在用户名令牌中。该参数必须是以下之一:

  • $$$SOAPWSPasswordText --- 以纯文本形式包含密码。这是默认设置。
  • $$$SOAPWSPasswordDigest --- 不包括密码,而是包括其摘要。摘要、Nonce 和创建时间戳均按照 WS-Security 1.1 的规定派生。

重要提示:此选项仅适用于与支持该选项的第三方服务器交互的 SOAP 客户端。PasswordDigest 身份验证要求服务器存储纯文本密码,这在现代安全环境中是不可接受的。PasswordDigest 算法应被视为一项旧功能。要保护 <UsernameToken> 中的密码,应该使用 SSL/TLS、加密 <UsernameToken> 或使用这些技术的某种组合。

  • $$$SOAPWSPasswordNone --- 不包括密码。

此方法创建 %SOAP.Security.UsernameToken 的实例,设置其用户名和密码属性,并返回该实例。此对象表示 <UsernameToken> 标头元素。

  1. 调用 Web 客户端或 Web 服务的 SecurityOut 属性的 AddSecurityElement() 方法。对于方法参数,请在创建的实例中使用 %SOAP.Security.UsernameToken例如:
java 复制代码
 do client.SecurityOut.AddSecurityElement(utoken)
  1. 发送 SOAP 消息。请参阅添加安全标头元素中的一般注释。
相关推荐
神仙别闹3 分钟前
基于C#+SQL Server实现(Web)学生选课管理系统
前端·数据库·c#
web前端神器9 分钟前
指定阿里镜像原理
前端
枷锁—sha14 分钟前
【DVWA系列】——CSRF——Medium详细教程
android·服务器·前端·web安全·网络安全·csrf
枷锁—sha15 分钟前
跨站请求伪造漏洞(CSRF)详解
运维·服务器·前端·web安全·网络安全·csrf
m0_6530313618 分钟前
PostgreSQL技术大讲堂 - 第97讲:PG数据库编码和区域(locale)答疑解惑
数据库·postgresql
群联云防护小杜31 分钟前
深度隐匿源IP:高防+群联AI云防护防绕过实战
运维·服务器·前端·网络·人工智能·网络协议·tcp/ip
会编程的林俊杰37 分钟前
MySQL中的锁有哪些
数据库·mysql
cts61839 分钟前
Milvus分布式数据库工作职责
数据库·分布式·milvus
周胡杰39 分钟前
鸿蒙加载预置数据库-关系型数据库-如何读取本地/预制数据库
数据库·华为·harmonyos·鸿蒙
YuTaoShao42 分钟前
【LeetCode 热题 100】994. 腐烂的橘子——BFS
java·linux·算法·leetcode·宽度优先