Spring WS UsernameToken身份验证+通过spring-boot进行会话管理

Question

我已经使用Spring Boot发布了Spring Web服务。 在WsConfigurerAdapter中，我将XwsSecurityInterceptor与SimplePasswordValidationCallback一起使用来对用户进行身份验证，并且一切正常。

网络配置

@Bean
XwsSecurityInterceptor securityInterceptor() {
    XwsSecurityInterceptor securityInterceptor = new XwsSecurityInterceptor();
    securityInterceptor.setCallbackHandler(callbackHandler());
    securityInterceptor.setPolicyConfiguration(new ClassPathResource("securityPolicy.xml"));
    return securityInterceptor;
}

@Bean
CallBackHandlerHelper callbackHandler() {
    CallBackHandlerHelper callbackHandler = new CallBackHandlerHelper();
    callbackHandler.loadUsers(); // loading users from DB
    return callbackHandler;
}

样品皂头。

<soapenv:Header>
   <wsse:Security soapenv:mustUnderstand="1" xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
   <wsse:UsernameToken wsu:Id="XWSSGID-14072105829651149256297" xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">
      <wsse:Username>admin</wsse:Username>
      <wsse:Password Type="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#PasswordText">1</wsse:Password>
    </wsse:UsernameToken>
  </wsse:Security>
</soapenv:Header>

现在，我正在努力解决这02个问题，

1）如何使用密码摘要和随机数，而不是plainText。 （在我的策略xml中，我将它们设置为false并通过SOAP标头以纯文本格式加载wss：usernameToken。但是我更喜欢使用密码摘要而不是plainText格式）。

2）我需要通过保持会话密钥将该服务设置为有状态。 不想每次发送用户/密码。 想法是只使用Username令牌登录请求，此后使用唯一的密钥管理会话，直到用户发送注销请求为止（希望将此生成的会话密钥保留在内存中，直到会话关闭）。给定的上下文？

Answer 1

1. 对于摘要，请在安全策略文件中使用以下内容：

    <xwss:UsernameToken digestPassword="true" useNonce="true"/> 

XWSS配置格式的参考文档可以在这里找到。

2. 我真的认为您应该重新考虑，因为通常不愿提供有状态服务。 见这个相似的，所以问题的情况下，或这一个或这一个 ，依此类推。