第五十五章 安全元素的详细信息 - 详情

本节讨论在消息头中用作 <Security>子元素的 <ReferenceList> 元素。当以这种方式使用 <ReferenceList> 时，可以在签名之前执行加密。以下显示了此元素的一个示例：

第五十三章 安全元素的详细信息 - 详情

<Signature>的目的是携带可由消息接收者验证的数字签名。可以使用数字签名来检测消息更改，或者只是验证消息的某个部分是否确实由列出的实体生成。与传统的手写签名一样，数字签名是对文档的附加，只能由文档的创建者创建，并且不易伪造。

以下显示了部分示例：

第五十一章 安全元素的详细信息 - 详情

详情

该元素的各部分如下：

• <EncryptionMethod> 表示用于加密对称密钥的算法。

在 IRIS 中，可以指定密钥传输算法（由 <EncryptionMethod> 的 Algorithm 属性显示）。请参阅指定密钥传输算法。

第四十九章 解决安全问题 - 可能出现的错误

可能出现的错误

本节讨论 IRIS Web 服务和 Web 客户端中可能出现的与安全相关的错误：

• 如果刚刚生成了 IRIS Web 服务或客户端，则可能尚未配置为识别 WS-Security 标头。在这种情况下，当您尝试执行 Web 方法时，会收到如下一般错误：

<ZSOAP>zInvokeClient+269^%SOAP.WebClient.1

将以下内容添加到Web服务或客户端并重新编译：

Parameter SECURITYIN="REQUIRE";

这种一般错误也可能是由于错误地调用 Web 方法（例如，在 Web 方法没有返回值时引用返回值）造成的。

如果使用 WS-Policy，则此项不适用。

第四十七章 创建和添加 SAML 令牌 - 与

<SubjectConfirmation>与 <EncryptedKey>

要添加带有 <SubjectConfirmationData>（其中包含 <EncryptedKey> 元素）的 <SubjectConfirmation>，请执行以下操作：

1. 按照以编程方式检索凭证集中所述，创建 %SYS.X509Credentials 的实例。

或者使用与签署断言时使用的相同凭证集。

第四十五章 创建和添加 SAML 令牌 - 变体：不使用

变体：不使用 <BinarySecurityToken>

<BinarySecurityToken> 包含序列化、base-64 编码格式的证书。可以忽略此令牌，而改用标识证书的信息；接收方使用此信息从相应位置检索证书。为此，请使用上述步骤，并进行以下更改：

第四十三章 使用 WS-ReliableMessaging - 对 WS-ReliableMessaging 标头进行签名

对 WS-ReliableMessaging 标头进行签名

可以通过以下任一方式签署 WS-ReliableMessaging 标头。

使用 SecurityContextToken 对标头进行签名

如果还使用 WS-SecureConversation，则 Web 客户端的 SecurityContextToken 属性包含一个对称密钥，可以使用该密钥对 WS-ReliableMessaging 标头元素进行签名。为此，请在调用 %SOAP.RM.CreateSequence实例的 AddSTR() 方法，并将 SecurityContextToken 属性作为参数传递：

第四十一章 创建安全对话 - 使用

在 Web 服务使用 <SecurityContextToken>, 做出响应后，客户端实例和服务实例可以访问相同的对称密钥。有关此密钥的信息包含在两个实例的 SecurityContextToken 属性中。建议的程序如下：

1. 在客户端中，将 SecurityOut 属性设置为 null，以删除请求消息中使用的安全标头。

在 Web 服务中不需要这样做，因为 Web 服务会在每次调用后自动清除安全标头。

第三十九章 创建安全对话

IRIS 支持安全对话，遵循 WS-SecureConversation 1.3 规范。本页介绍如何手动创建安全对话。

概述

在安全对话中，Web 客户端向 Web 服务发出初始请求并接收包含 <SecurityContextToken> 的消息。此元素包含双方都可以使用的对称密钥的信息。此信息指的是只有双方知道的共享密钥。然后双方可以在后续交换中使用对称密钥，直到令牌过期或客户端取消令牌。

双方不应该直接使用 <SecurityContextToken> 执行这些任务（不推荐），而应该从中生成一个 <SecurityContextToken>，然后使用它进行加密、签名、解密和签名验证。

共享密钥可以通过以下任一方式指定：