如何在SOAP Mock Response步骤中启用WSS？

我之前在配置SoapUI的SOAP Mock Response启用WS-Security时也踩过同样的坑——Request步骤一切正常，Mock这边却一直显示FAILED状态。折腾了一阵后终于摸清楚了Mock端的配置逻辑，下面是亲测有效的步骤和排查要点：

一、基础配置准备 #

首先要明确：Mock Response作为服务端角色，它的WSS配置逻辑和作为客户端的SOAP Request是反过来的。比如Request是给请求签名/加密，而Mock需要验证客户端的签名、解密客户端的加密请求，如果需要给响应加WSS，还要给响应签名/加密。

先确保你有正确的密钥库（Keystore）和信任库（Truststore）：

• 信任库要包含客户端用来签名的证书（Mock需要用它验证签名合法性）
• 密钥库要包含Mock服务端自己的私钥（用来解密客户端的加密请求，或者给响应签名）

二、详细配置步骤 #

1. 打开目标SOAP Mock Response步骤，切换到WS-Security标签页
2. 勾选「Enable WS-Security」启用功能
3. 根据你的业务需求添加对应的WSS操作：
   • 验证客户端签名：添加「Inbound Signature」条目，配置信任库的路径（建议用绝对路径，比如C:/projects/truststore.jks）、密码，选择签名验证算法（比如SHA-256），并指定要验证的SOAP部分（通常是Body，要和客户端配置一致）
   • 解密客户端加密请求：添加「Inbound Decryption」条目，配置密钥库路径、密码，选择对应的私钥别名（要和密钥库中的别名完全一致，区分大小写）
   • 给响应签名/加密：如果需要给返回的响应加WSS，添加「Outbound Signature」或「Outbound Encryption」，这里要使用客户端的公钥来加密，签名算法也要和客户端预期一致

三、解决FAILED状态的关键排查点 #

如果配置后WS-Security状态还是FAILED，按以下顺序排查：

• 路径与密码错误：手动输入路径容易出错，点击「Browse」按钮直接选择密钥库/信任库文件；确认密码和密钥库创建时一致，注意大小写
• 操作顺序错误：Inbound操作的顺序很重要，必须先「Inbound Decryption」再「Inbound Signature」，否则解密后的内容无法被正确验证
• SOAP部分不匹配：比如客户端签名的是整个SOAP Envelope，但你配置的只验证Body，这会直接导致签名验证失败，要完全对齐客户端的WSS配置
• 日志定位问题：开启SoapUI的DEBUG日志（File > Preferences > Logs，把日志级别调到DEBUG），查看WS-Security模块的报错信息，里面会明确指出是证书不匹配、签名验证失败还是解密失败

四、验证配置的小技巧 #

• 用SOAP Request步骤发送一个带WSS的请求到Mock服务，然后查看Mock Service的「Logs」标签页，里面会显示客户端发送的WSS头信息，对比你的Mock配置是否完全匹配
• 先简化配置：比如只启用签名验证，确认成功后再逐步添加解密、响应签名等功能，缩小排查范围

内容的提问来源于stack exchange，提问作者Bartek