WebLogic应用迁移Tomcat后CXF调用远程WS失败问题排查

核心原因 #

远程Web Service使用的是WebLogic专属的过时安全策略（http://www.bea.com/wls90/security/policy），这是WebLogic私有扩展，CXF/WSS4J默认不支持该命名空间下的策略断言解析，和是否缺少WebLogic依赖无关——即使添加WebLogic依赖，Tomcat环境下也会引发严重类冲突，完全不建议这么做。

可行解决方案 #

1. 最优方案：替换为标准WS-SecurityPolicy

联系远程WS服务方，要求提供兼容OASIS标准WS-SecurityPolicy的WSDL，标准命名空间为http://docs.oasis-open.org/ws-sx/ws-securitypolicy/200702。这从根源上解决了私有策略的兼容性问题，也符合Web服务的标准化趋势。

2. 自定义策略断言构建器（适配私有策略）

如果无法修改远程WS，可自定义CXF的断言构建器来解析WebLogic专属策略：

• 实现org.apache.cxf.ws.policy.AssertionBuilder接口，针对WebLogic策略节点（如wls:UsernameToken、wls:Encryption等）编写解析逻辑，将其映射为WSS4J支持的标准安全动作。
• 在cxf.xml中注册自定义构建器，绑定WebLogic策略命名空间：

  <!-- 自定义WebLogic策略断言构建器 -->
  <bean id="weblogicPolicyBuilder" class="com.yourcompany.ws.WebLogicPolicyAssertionBuilder"/>
  
  <!-- 配置CXF策略构建器，注入自定义实现 -->
  <bean class="org.apache.cxf.ws.policy.PolicyBuilderImpl">
      <property name="assertionBuilders">
          <map>
              <entry key="http://www.bea.com/wls90/security/policy" value-ref="weblogicPolicyBuilder"/>
          </map>
      </property>
  </bean>
  

3. 临时绕过策略校验（不推荐）

若仅用于测试或低安全场景，可临时禁用CXF的策略校验：

• 在客户端配置中添加策略忽略参数，或手动修改本地WSDL，将WebLogic私有策略替换为标准WS-SecurityPolicy规则后调用。注意：此方法会跳过安全校验，存在数据泄露或篡改风险，生产环境禁止使用。

关于WSS4J版本的说明 #

CXF 3.5.9与WSS4J 2.4.3版本是兼容的，日志中提示的类加载问题是策略解析失败引发的连锁反应，解决策略兼容问题后该错误会自动消失。

内容的提问来源于stack exchange，提问作者SJuan76