能否禁用WSO2 Enterprise Integrator的服务列表及受保护服务WSDL公开访问？

当然可以搞定这些需求！我在WSO2 EI部署实践中经常遇到这类安全诉求，下面给你分步讲解具体配置方案：

如果你想彻底关闭/services/路径下的服务列表页面，操作很简单：

• 找到WSO2 EI安装目录下的 <EI_HOME>/repository/conf/axis2/axis2.xml 文件
• 搜索 <parameter name="listServices">true</parameter> 这一行
• 将true改为false，保存文件后重启EI服务
• 之后访问http://serverip:port/services/时，就不会显示任何服务的列表信息了

如果不想完全关闭列表，只需要把配置了安全策略的受保护服务从列表中隐藏，可以针对单个服务进行配置：

• 对于代理服务（Proxy Service）：找到对应服务的synapse配置文件（一般在<EI_HOME>/repository/deployment/server/synapse-configs/default/proxy-services/目录下），在<proxy>标签内部添加如下参数：

<parameter name="hideServiceListing">true</parameter>

• 对于Axis2原生服务：在服务的services.xml文件中，添加如下配置：

<parameter name="listServices">false</parameter>

• 配置完成后，受保护的服务就不会出现在/services/的列表里，公开服务依然可以正常展示

针对WSDL的访问控制，有两种常用方案，你可以根据需求选择：

方案一：直接禁用服务的WSDL访问 #

如果不需要任何用户访问该服务的WSDL，直接在服务配置中添加禁用参数：

• 代理服务：在<proxy>标签内添加：

<parameter name="disableWSDL">true</parameter>

• Axis2服务：在services.xml文件中添加：

<parameter name="disableWSDL">true</parameter>

这样当有人访问http://server:port/services/service_name?wsdl时，会直接返回错误，无法获取WSDL内容

方案二：通过安全策略控制WSDL访问（授权用户可访问） #

如果希望授权用户仍能查看WSDL，仅阻止未认证用户访问，可以给WSDL的访问入口绑定安全策略：

1. 先为服务创建合适的安全策略（比如UsernameToken、OAuth2等，具体根据你的认证体系选择）
2. 在服务配置中关联安全策略到WSDL访问：
   • 对于Axis2服务，在services.xml的<operations>节点之前添加：

   <operationPolicy>
       <wsp:PolicyReference URI="#YourSecurityPolicyID" xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy"/>
   </operationPolicy>
   

   • 对于代理服务，在synapse配置中通过<enableSecurity>标签绑定安全策略，确保WSDL的访问请求也会触发认证校验

注意：所有配置修改完成后，必须重启WSO2 EI服务才能让变更生效，配置前建议备份原文件哦！

内容的提问来源于stack exchange，提问作者Saeid