Java webservices 自定义策略使用自定义 header (CLIENT-CERT) 进行身份验证

Question

我有一个 web 服务，在 JBoss 7.x 上运行，它接受 2 个策略指定的 2 种身份验证方法：

@WebService
@EndpointProperties(value = {
        @EndpointProperty(key = SecurityConstants.BST_TOKEN_VALIDATOR, beanClass = util.ws.KerberosTokenValidator.class),
        @EndpointProperty(key = SecurityConstants.USERNAME_TOKEN_VALIDATOR, beanClass = util.ws.UsernameTokenValidator.class),
})
@Policies({ @Policy(placement = Policy.Placement.BINDING, uri = "ws-policy.xml")
})
public class PaymentNotification implements PaymentNotificationInterface {

策略文件 (ws-policy.xml)：

        <wsp:ExactlyOne>
            <!--  KERBEROS TOKEN (http or https) -->
            <wsp:Policy>
                <sp:KerberosToken
                    sp:IncludeToken="http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702/IncludeToken/AlwaysToRecipient">
                    <wsp:Policy>
                        <sp:WssGssKerberosV5ApReqToken11 />
                    </wsp:Policy>
                </sp:KerberosToken>
            </wsp:Policy>

            <!-- USERNAME TOMEN WITH HASHED PASSWORD (http or https) -->
            <wsp:Policy>
                <sp:UsernameToken
                    sp:IncludeToken="http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702/IncludeToken/AlwaysToRecipient">
                    <wsp:Policy>
<!--                        <sp:HashPassword /> -->
                        <sp:WssUsernameToken11 />
                    </wsp:Policy>
                </sp:UsernameToken>
            </wsp:Policy>
        </wsp:ExactlyOne>

我想添加一个新策略，从 HTTP 请求（CLIENT-CERT）中读取自定义 header 并使用证书进行身份验证。

这可能吗？ 任何示例都将受到高度赞赏，甚至是指向特定文档或简单教程的一些指针。

我找不到任何预定义的策略和断言来检查自定义 header 的值，所以我想我需要创建一个自定义的，但我不确定这是添加新身份验证方法的正确方法。

先感谢您。