如何用Apache CXF实现SOAP网关？解决.NET SenderVouches兼容问题

核心结论 #

Apache CXF完全可以实现这类适配网关，解决.NET客户端与采用SenderVouches认证的Java服务之间的兼容问题。

实现方案 #

• 双端口安全配置：搭建一个CXF网关服务，配置两个端点：
  • 面向.NET客户端的端点：启用.NET支持的WS-Security认证机制（如UsernameToken、Kerberos或签名加密组合），负责接收并验证.NET请求的身份信息。
  • 面向Java后端服务的端点：启用SenderVouches认证策略，将.NET客户端的身份信息转换为符合SenderVouches规范的SOAP请求后转发。
• 自定义拦截器处理转换：利用CXF的WSS4JInInterceptor和WSS4JOutInterceptor，在网关内部实现身份信息的映射与格式转换。比如从.NET的UsernameToken提取身份，生成SenderVouches要求的断言结构。
• 安全策略绑定：通过CXF的WS-SecurityPolicy或编程式配置，为两个端点分别绑定对应的安全规则，确保两端的安全上下文匹配各自的通信方。

关键注意事项 #

• 身份转换过程需保证安全性，对转发的请求添加必要的签名或加密，防止身份信息被篡改或泄露。
• 测试时需分别验证.NET到网关、网关到Java服务的完整安全流程，确认认证信息传递无误。

内容的提问来源于stack exchange，提问作者ciis0