基于XFire实施WS-Security(第一部分)

安装Java策略文件

策略文件被JDK使用，用以控制加密的强度和算法。确认已经安装对应JDK 版本的Unlimited Strength Jurisdiction策略文件，这是一个无限制的安全控制文件。你可以从http://java.sun.com/j2se/1.5.0/download.jsp 或 http://java.sun.com/j2se/1.4.2/download.html页面的底部找到下载的链接。否则在使用WS-Security时，可以会抛出java.security.InvalidKeyException: Illegal key size的错误信息。

策略文件包括local_policy.jar和US_export_policy.jar文件，将其拷贝到<JAVA_HOME>/jre/lib/security目录下。为了方便读者，我们在光盘resources/jce_policy-1_5_0拥有该策略文件的拷贝。

你也许会问：为何Sun不把它集成到JDK中去，而单独“损人不利己”地弄一个链接出来给人下载？这是因为每个国家，尤其是美国，对涉及密码的软件产品控制非常严格，在美国国内，很多密码算法长度都作了限制，而且某些算法在某些国家没有申请专利，可以随意使用，而在某些国家却做了明确限制，不准使用，因此Sun必须按照惯例行事。

安装SecurityProvider

WSS4J使用了BouncyCastle的SecurityProvider，所以需要事先在java.security文件中进行配置，否则运行加密模式的XFire认证时，会抛出以下的出错信息：org.apache.ws.security.WSSecurityException: An unsupported signature or encryption algorithm was used unsupported key

在java.security文件中(位于<JAVA_HOME>/jre/lib/security目录中)添加BouncyCastleProvider的配置：

…

security.provider.1=sun.security.provider.Sun

security.provider.2=sun.security.rsa.SunRsaSign

security.provider.3=com.sun.net.ssl.internal.ssl.Provider

security.provider.4=com.sun.crypto.provider.SunJCE

security.provider.5=sun.security.jgss.SunProvider

security.provider.6=com.sun.security.sasl.Provider

security.provider.7=org.bouncycastle.jce.provider.BouncyCastleProvider

…

XFire发布包中包含了BouncyCastle SecurityProvider的类包，位于<XFIRE_HOME>/lib/bcprov-jdk15-133.jar下。必须将bcprov-jdk15-133.jar加入到类路径中。你可以在http://docs.safehaus.org/display/PENROSE/Installing+Security+Provider中获取更多关于安装BouncyCastle SecurityProvider的帮助。

创建密钥对和数字证书

签名和加密需要使用到数字证书和密钥对，可以使用JDK提供的KeyTool工具创建密钥对和数字证书。我们分别为服务端和客户端创建RSA密钥对，并生成各自的X509数字证书（包含公钥和数字签名）。服务端和客户端拥有各自的密钥库JKS文件，服务端的密钥库保存服务端的密钥对和客户端的数字证书，而客户端的密钥库保存客户端的密钥对和服务端的数字证书。

下面，我们来完成创建服务端和客户端密钥库的工作：

• 编写一个用于创建RSA密钥对和generateKeyPair.bat批处理文件：

rem @echo off

#接受参数

echo alias %1

echo keypass %2

echo keystoreName %3

echo KeyStorePass %4

echo keyName %5

①创建RSA密钥对

keytool -genkey -alias %1 -keypass %2 -keystore %3 -storepass %4-dname "cn=%1" -keyalg RSA

keytool -selfcert -alias %1 -keystore %3 -storepass %4 -keypass %2 ②使用私钥进行自签名

keytool -export -alias %1 -file %5 -keystore %3 -storepass %4 ③导出数字证书

• 编写一个使用generateKeyPair.bat创建服务端和客户端的密钥库的generateKeyStore.bat批处理文件：

①下面两行命名分别调用generateKeyPair.bat批处理文件为服务端和客户端生成密钥对

call generateKeyPair.bat server serverpass serverStore.jks storepass serverKey.rsa

call generateKeyPair.bat clientclientpassclientStore.jks storepass clientKey.rsa

②将服务端的数字证书导入客户端的密钥库

keytool -import -alias server -file serverKey.rsa -keystore clientStore.jks -storepass storepass -noprompt

③将客户端的数字证书导入服务端的密钥库

keytool -import -alias client -file clientKey.rsa -keystore serverStore.jks -storepass storepass -noprompt

运行该批处理文件后，将分别为服务端和客户端生成一个Java密钥库文件，它们分别拥有一个自己的密钥对和对方的数字证书。我们通过表1对两者密钥库文件的内容进行说明：

表1密钥库说明

• 将serverStore.jks和clientStore.jks拷贝到<工程目录>/src/META-INF/xfire的目录下，以便后面的实例代码使用。