7.3. 提供客户端凭证

提供 UsernameToken 客户端凭证基本上有两种方法：您可以在客户端的 Blueprint XML 配置中直接设置用户名和密码；或者，您可以在客户端配置中设置用户名并实施回调处理程序以以编程方式提供密码。后一种方法（通过编程）可以方便密码在视图中显示。

表 7.1 “客户端凭证属性” 显示在 Blueprint XML 中客户端请求上下文上指定 WS-Security username/password 凭据的属性。

要在 Blueprint XML 中客户端请求上下文中配置用户名/密码凭证，请按如下所示设置 security.username 和 security.password 属性：

<beans ... >
    <jaxws:client name="{NamespaceName}LocalPortName"
                  createdFromAPI="true">
        <jaxws:properties>
            <entry key="security.username" value="Alice"/>
            <entry key="security.password" value="abcd!1234"/>
        </jaxws:properties>
    </jaxws:client>
    ...
</beans>

如果您不希望直接在 Blueprint XML 中存储密码（这可能是安全风险），您可以使用回调处理程序提供密码。

如果要使用回调处理器为 UsernameToken 标头提供密码，您必须首先修改 Blueprint XML 中的客户端配置，将 security.callback-handler 设置替换为 security.callback-handler 设置，如下所示：

<beans ... >
    <jaxws:client name="{NamespaceName}LocalPortName"
                  createdFromAPI="true">
        <jaxws:properties>
            <entry key="security.username" value="Alice"/>
            <entry key="security.callback-handler" value="interop.client.UTPasswordCallback"/>
        </jaxws:properties>
    </jaxws:client>
    ...
</beans>

在前面的示例中，回调处理程序由 UT PasswordCallback 类实施。您可以通过实施 javax.security.auth.callback.CallbackHandler 接口来编写回调处理程序，如 例 7.2 “UsernameToken 密码的回调处理程序” 所示。

package interop.client;

import java.io.IOException;
import java.util.HashMap;
import java.util.Map;

import javax.security.auth.callback.Callback;
import javax.security.auth.callback.CallbackHandler;
import javax.security.auth.callback.UnsupportedCallbackException;

import org.apache.ws.security.WSPasswordCallback;

public class UTPasswordCallback implements CallbackHandler {

    private Map<String, String> passwords =
        new HashMap<String, String>();

    public UTPasswordCallback() {
        passwords.put("Alice", "ecilA");
        passwords.put("Frank", "invalid-password");
        //for MS clients
        passwords.put("abcd", "dcba");
    }

    public void handle(Callback[] callbacks) throws IOException, UnsupportedCallbackException {
        for (int i = 0; i < callbacks.length; i++) {
            WSPasswordCallback pc = (WSPasswordCallback)callbacks[i];

            String pass = passwords.get(pc.getIdentifier());
            if (pass != null) {
                pc.setPassword(pass);
                return;
            }
        }

        throw new IOException();
    }

    // Add an alias/password pair to the callback mechanism.
    public void setAliasPassword(String alias, String password) {
        passwords.put(alias, password);
    }
}

回调功能通过 CallbackHandler.handle（） 方法实施。在本例中，假设传递给 handle（） 方法的回调对象是 org.apache.ws.security.WSPasswordCallback 类型（在更现实示例中，您将检查回调对象的类型）。

客户端回调处理器的更真实的实施可能由提示用户输入其密码组成。

在 Apache CXF 客户端中调用一个 回调处理程序 时，用于设置 UsernameToken 密码的目的，对应的 WSPasswordCallback 对象具有 USERNAME_TOKEN 使用代码。

有关 WSPasswordCallback 类的更多详情，请参阅 org.apache.ws.security.WSPasswordCallback。

WSPasswordCallback 类定义了几种不同的使用代码，如下所示：