从Websphere 8.5迁移至Tomcat 8.5：IBM安全API替代方案咨询

我之前处理过不少WebSphere到Tomcat的迁移需求，你提到的这些类都是WebSphere专属的WS-Security实现，Tomcat本身并没有内置这类功能，所以得用标准JAX-WS规范配合开源的WS-Security库来替代，最常用的就是Apache WSS4J（核心WS-Security处理库）和Apache CXF（JAX-WS实现，集成WSS4J更便捷）。下面给你逐个对应替代方案：

1. UNTGenerateCallbackHandler 替代 #

这个类是WebSphere用来生成UsernameToken时提供凭证的回调处理器，替代方案是自定义javax.security.auth.callback.CallbackHandler，配合WSS4J的WSPasswordCallback来提供用户名和密码：

import javax.security.auth.callback.Callback;
import javax.security.auth.callback.CallbackHandler;
import javax.security.auth.callback.UnsupportedCallbackException;
import org.apache.wss4j.common.ext.WSPasswordCallback;
import java.io.IOException;

public class UsernameTokenCallbackHandler implements CallbackHandler {
    private final String username;
    private final String password;

    public UsernameTokenCallbackHandler(String username, String password) {
        this.username = username;
        this.password = password;
    }

    @Override
    public void handle(Callback[] callbacks) throws IOException, UnsupportedCallbackException {
        for (Callback callback : callbacks) {
            if (callback instanceof WSPasswordCallback pwCallback) {
                pwCallback.setIdentifier(username);
                pwCallback.setPassword(password);
            }
        }
    }
}

2. WSSFactory & WSSGenerationContext 替代 #

这两个类是WebSphere用来创建WS-Security上下文、生成安全令牌的工厂类，替代方案分两种场景：

纯SOAP消息处理（不用JAX-WS框架） #

用WSS4J的WSSecHeader和具体的令牌构建类（比如WSSecUsernameToken）来手动构建安全SOAP头：

import org.apache.wss4j.dom.WSSecHeader;
import org.apache.wss4j.dom.WSSecUsernameToken;
import javax.xml.soap.SOAPMessage;

public void attachUsernameToken(SOAPMessage soapMsg, String username, String password) throws Exception {
    // 创建安全头并插入到SOAP消息中
    WSSecHeader secHeader = new WSSecHeader();
    secHeader.insertSecurityHeader(soapMsg.getSOAPPart());

    // 构建UsernameToken
    WSSecUsernameToken tokenBuilder = new WSSecUsernameToken();
    tokenBuilder.setUserInfo(username, password);
    // 设置密码类型：明文用PASSWORD_TEXT，摘要用PASSWORD_DIGEST
    tokenBuilder.setPasswordType(WSSecUsernameToken.PASSWORD_DIGEST);

    // 生成并添加到SOAP头
    tokenBuilder.build(soapMsg.getSOAPPart(), secHeader, new UsernameTokenCallbackHandler(username, password));
}

使用CXF作为JAX-WS实现（推荐） #

如果你的项目用CXF来实现JAX-WS（Tomcat本身需要额外引入JAX-WS实现，CXF是主流选择），可以通过配置WSS4JOutInterceptor来自动处理安全令牌生成，不用手动操作SOAP消息：

import org.apache.cxf.endpoint.Client;
import org.apache.cxf.frontend.ClientProxy;
import org.apache.cxf.ws.security.wss4j.WSS4JOutInterceptor;
import java.util.HashMap;
import java.util.Map;

// 假设你已经获取了WebService的端口实例
YourWebServicePortType servicePort = ...;
Client cxfClient = ClientProxy.getClient(servicePort);

// 配置WSS4J拦截器参数
Map<String, Object> outInterceptorProps = new HashMap<>();
outInterceptorProps.put("action", "UsernameToken"); // 指定要生成的安全动作
outInterceptorProps.put("user", "your_username");
outInterceptorProps.put("passwordType", "PasswordDigest"); // 密码类型
outInterceptorProps.put("passwordCallbackClass", UsernameTokenCallbackHandler.class.getName());

// 添加拦截器到客户端
cxfClient.getOutInterceptors().add(new WSS4JOutInterceptor(outInterceptorProps));

3. SecurityToken & UsernameToken 替代 #

WebSphere的这两个令牌类，对应的替代是WSS4J中的org.apache.wss4j.dom.token.UsernameToken（如果你需要直接操作令牌对象），或者通过CXF/WSS4J的API间接处理——大部分情况下，你不需要直接实例化令牌对象，框架会根据配置自动生成并注入到SOAP头中。

注意事项 #

• 你需要在项目中添加WSS4J和CXF的依赖（如果用CXF的话），比如Maven依赖：

<!-- WSS4J核心依赖 -->
<dependency>
    <groupId>org.apache.wss4j</groupId>
    <artifactId>wss4j-ws-security-dom</artifactId>
    <version>2.4.0</version> <!-- 选择适配Tomcat 8.5的版本 -->
</dependency>
<!-- CXF JAX-WS实现 -->
<dependency>
    <groupId>org.apache.cxf</groupId>
    <artifactId>cxf-rt-frontend-jaxws</artifactId>
    <version>3.3.12</version>
</dependency>

• Tomcat只是Servlet容器，本身不包含JAX-WS实现，所以如果你的项目之前依赖WebSphere的JAX-WS，迁移时需要引入CXF或Metro这类JAX-WS实现库。

内容的提问来源于stack exchange，提问作者hell_storm2004