Apache CXF服务未自动添加WSDL策略指定的必要头部问题排查

1. 确保WSDL策略被正确加载并生效 #

CXF不会自动启用WSDL中定义的安全和地址策略，必须明确配置策略支持：

• 在Spring配置类中添加策略拦截器提供者：

  @Bean
  public PolicyInterceptorProvider policyInterceptorProvider() {
      return new PolicyInterceptorProviderImpl();
  }
  

• 配置Endpoint时指定wsdlLocation，确保WSDL被完整解析，策略绑定到服务端点：

  endpoint.setWsdlLocation("classpath:/path/to/your/service.wsdl");
  

2. 启用原生WS-Addressing支持 #

手动添加头部无法通过客户端的策略验证，必须启用CXF原生的WS-Addressing特性：

• 方式一：在服务实现类上添加注解：

  import org.apache.cxf.ws.addressing.Addressing;
  
  @Addressing(enabled = true, required = true)
  public class YourServiceImplementation implements YourServicePortType {
      // 服务方法实现
  }
  

• 方式二：在Endpoint配置中添加WS-Addressing特性：

  endpoint.getFeatures().add(new org.apache.cxf.ws.addressing.WSAddressingFeature());
  

3. 配置WS-Security签名确认 #

签名确认需要在出站拦截器中明确启用，匹配WSDL的策略要求：

• 创建出站WS-Security拦截器，指定包含签名确认动作：

  @Bean
  public WSS4JOutInterceptor wss4jOutInterceptor() {
      Map<String, Object> props = new HashMap<>();
      // 同时启用签名和签名确认
      props.put(WSHandlerConstants.ACTION, WSHandlerConstants.SIGN + " " + WSHandlerConstants.SIGNATURE_CONFIRMATION);
      // 指定签名配置文件（包含密钥库、别名等信息）
      props.put(WSHandlerConstants.SIG_PROP_FILE, "security/server-sign.properties");
      // 明确开启签名确认
      props.put(WSHandlerConstants.SIGNATURE_CONFIRMATION, "true");
      return new WSS4JOutInterceptor(props);
  }
  

• 确保入站拦截器正确处理客户端的签名请求，否则签名确认会无法生成：

  @Bean
  public WSS4JInInterceptor wss4jInInterceptor() {
      Map<String, Object> props = new HashMap<>();
      props.put(WSHandlerConstants.ACTION, WSHandlerConstants.SIGN);
      props.put(WSHandlerConstants.SIG_VER_PROP_FILE, "security/server-verify.properties");
      return new WSS4JInInterceptor(props);
  }
  

4. 验证策略的可执行性 #

使用CXF的PolicyEngine验证WSDL策略是否能被正确解析：

@Autowired
private Bus bus;

@PostConstruct
public void validatePolicy() throws Exception {
    PolicyEngine policyEngine = bus.getExtension(PolicyEngine.class);
    // 加载WSDL文档
    DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
    dbf.setNamespaceAware(true);
    Document wsdlDoc = dbf.newDocumentBuilder().parse(new ClassPathResource("your-service.wsdl").getInputStream());
    // 获取并验证所有策略
    Collection<Policy> policies = policyEngine.getPolicyCalculator().getPolicies(wsdlDoc);
    for (Policy policy : policies) {
        policyEngine.validatePolicy(policy);
    }
}

如果验证报错，根据提示修复WSDL中的策略语法或命名空间问题。

5. 保证依赖版本一致性 #

确保所有CXF相关依赖版本完全一致，避免版本冲突：

• 使用Spring Boot starter时，其他CXF依赖（如cxf-rt-ws-security、cxf-rt-ws-policy）应依赖starter管理的版本，或手动指定相同版本。
• 对于CXF 4.x + Spring Boot 3.x，若使用模块系统，需在module-info.java中导出/开放相关包：

  module your.module.name {
      requires org.apache.cxf.spring.boot.starter.jaxws;
      requires org.apache.cxf.rt.ws.security;
      requires org.apache.cxf.rt.ws.policy;
      // 按需添加其他模块依赖
  }
  

6. 完整的Endpoint配置 #

将所有必要的特性和拦截器绑定到Endpoint：

@Bean
public Endpoint endpoint(Bus bus, YourServiceImplementation service, WSS4JInInterceptor wss4jInInterceptor, WSS4JOutInterceptor wss4jOutInterceptor) {
    EndpointImpl endpoint = new EndpointImpl(bus, service);
    endpoint.setWsdlLocation("classpath:your-service.wsdl");
    // 添加WS-Addressing特性
    endpoint.getFeatures().add(new WSAddressingFeature());
    // 添加策略支持特性
    endpoint.getFeatures().add(new PolicyFeature());
    // 绑定WS-Security拦截器
    endpoint.getInInterceptors().add(wss4jInInterceptor);
    endpoint.getOutInterceptors().add(wss4jOutInterceptor);
    endpoint.publish("/your-service");
    return endpoint;
}

内容的提问来源于stack exchange，提问作者thomre