WSSTUBE0025错误咨询：SOAP入站消息无安全头问题排查

• 核对服务端安全策略配置
  确认服务端WSIT或安全策略文件（如wsit-server.xml）的安全要求与客户端配置完全匹配：

  • 检查服务端是否强制要求Security头，以及头内元素（签名/加密算法、证书别名）是否与请求一致
  • 验证服务端密钥库/信任库是否正确加载客户端公证书，别名是否与请求中使用的一致
  • 排查服务端是否开启严格的安全头校验，比如是否要求头元素顺序、命名空间完全符合规范

• 抓包验证SOAP消息完整性
  用Wireshark、TCPDump或Payara请求日志抓取完整交互包：

  • 确认客户端发送的Security头是否完整到达服务端，未被中间代理/网关修改或剥离
  • 检查Security头的命名空间是否正确（应为http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd），避免拼写错误
  • 对比服务端预期的安全头格式，确认请求头未缺失必填元素（如Timestamp、SignatureValue）

• 排查服务端证书信任链

  • 确认服务端信任库（如cacerts.p12）已正确导入客户端公证书，且证书未过期、密钥权限包含签名/加密
  • 检查服务端是否开启证书路径校验，是否因客户端证书不在信任链内导致拒绝处理安全头
  • 若服务端使用自定义证书验证逻辑，排查该逻辑是否错误过滤了请求

• 深挖服务端安全日志

  • 开启Payara的WSIT debug日志（将com.sun.xml.wss和com.sun.xml.ws.security日志级别设为DEBUG），查看请求处理细节：
    • 日志中是否有“Security header detected”记录，无则说明服务端未识别到安全头
    • 查找证书验证失败、算法不匹配等底层错误日志，这类问题会导致服务端忽略安全头并抛出异常
  • 检查Payara的server.log，除XWSSecurityException外，是否存在密钥库加载失败、权限不足等更底层异常

• 验证服务端兼容性

  • 确认服务端的Jakarta EE、JAX-WS/WSIT版本与客户端（Java 11、Jakarta 10、Payara 6）兼容，不同版本WSIT对安全头的解析逻辑可能存在差异
  • 使用服务端官方示例客户端调用接口，若示例成功，对比其与你的客户端在密钥库格式、回调逻辑、WSIT配置上的差异

内容的提问来源于stack exchange，提问作者tibotka