Apache CXF WS-Security报Security processing failed (actions mismatch)错误原因？

这个Security processing failed (actions mismatch)错误的核心逻辑是：服务端配置的WS-Security预期校验动作，和客户端SOAP请求实际携带的WS-Security动作/内容不匹配，常见触发原因如下：

• 参数配置错误：你代码中WSHandlerConstants.SIG_PROP_FILE参数传入的是getResource返回的URL对象，而这个参数要求接收字符串类型的类路径资源地址，系统无法正确读取签名校验所需的密钥库配置，会直接触发校验失败。
  正确写法参考：

  inProps.put(WSHandlerConstants.SIG_PROP_FILE, "server_sign.properties");
  

  同时需要确保server_sign.properties文件在类路径对应位置，内部正确配置了密钥库类型、密码、信任别名等必填参数。
• 客户端请求未携带符合要求的签名头：服务端配置的ACTION是仅校验签名，但客户端发送的SOAP请求中没有携带<wsse:Security>头，或者头中没有符合要求的签名内容，和服务端预期动作不匹配导致报错。
• 两端签名规则不匹配：客户端使用的签名算法、密钥标识方式和服务端配置不一致，例如你服务端设置了signatureKeyIdentifier为DirectReference，但客户端使用了IssuerSerial等其他密钥标识方式，校验不通过也会触发该错误。
• 多余配置干扰（可选排查）：你仅启用签名校验，但配置了加密相关的参数encryptionKeyTransportAlgorithm，虽然该参数通常不会影响签名校验逻辑，也可以暂时移除避免额外干扰。

快速排查建议 #

开启WSS4J的DEBUG级别日志，可以直接打印出服务端预期的动作列表、客户端实际提交的动作列表，对比即可快速定位差异。

内容的提问来源于stack exchange，提问作者agusting