7.3. 提供客户端凭证

基本上有两种提供 UsernameToken 客户端凭证的方法：您可以在客户端的 Blueprint XML 配置中直接设置用户名和密码；或者，您可以在客户端的配置中设置用户名并实施回调处理程序来以编程方式提供密码。后一种方法（通过编程）具有从视图中隐藏密码更容易的优势。

表 7.1 “客户端凭证属性” 显示您可以在 Blueprint XML 中的客户端请求上下文中指定 WS-Security 用户名/密码凭证的属性。

要在蓝图 XML 中的客户端请求上下文中配置用户名/密码凭证，请设置 security.username 和 security.password 属性，如下所示：

<beans ... >
    <jaxws:client name="{NamespaceName}LocalPortName"
                  createdFromAPI="true">
        <jaxws:properties>
            <entry key="security.username" value="Alice"/>
            <entry key="security.password" value="abcd!1234"/>
        </jaxws:properties>
    </jaxws:client>
    ...
</beans>

如果您不希望将密码直接存储在 Blueprint XML 中（这可能是安全 hazard），您可以使用回调处理程序提供密码。

如果要使用回调处理器为 UsernameToken 标头提供密码，您必须首先在 Blueprint XML 中修改客户端配置，将 security.password 设置替换为 security.callback-handler 设置，如下所示：

<beans ... >
    <jaxws:client name="{NamespaceName}LocalPortName"
                  createdFromAPI="true">
        <jaxws:properties>
            <entry key="security.username" value="Alice"/>
            <entry key="security.callback-handler" value="interop.client.UTPasswordCallback"/>
        </jaxws:properties>
    </jaxws:client>
    ...
</beans>

在上例中，回调处理程序由 UTPasswordCallback 类实施。您可以通过实施 javax.security.auth.callback.CallbackHandler 接口来编写回调处理器，如 例 7.2 “UsernameToken Passwords 的回调处理程序” 所示。

package interop.client;

import java.io.IOException;
import java.util.HashMap;
import java.util.Map;

import javax.security.auth.callback.Callback;
import javax.security.auth.callback.CallbackHandler;
import javax.security.auth.callback.UnsupportedCallbackException;

import org.apache.ws.security.WSPasswordCallback;

public class UTPasswordCallback implements CallbackHandler {

    private Map<String, String> passwords =
        new HashMap<String, String>();

    public UTPasswordCallback() {
        passwords.put("Alice", "ecilA");
        passwords.put("Frank", "invalid-password");
        //for MS clients
        passwords.put("abcd", "dcba");
    }

    public void handle(Callback[] callbacks) throws IOException, UnsupportedCallbackException {
        for (int i = 0; i < callbacks.length; i++) {
            WSPasswordCallback pc = (WSPasswordCallback)callbacks[i];

            String pass = passwords.get(pc.getIdentifier());
            if (pass != null) {
                pc.setPassword(pass);
                return;
            }
        }

        throw new IOException();
    }

    // Add an alias/password pair to the callback mechanism.
    public void setAliasPassword(String alias, String password) {
        passwords.put(alias, password);
    }
}

回调功能由 CallbackHandler.handle （） 方法实现。在本例中，假设传递给 handle （） 方法的回调对象都是 org.apache.ws.security.WSPasswordCallback 类型（在更真实的示例中，您要检查回调对象的类型）。

客户端回调处理程序的更真实的实现可能包括提示用户输入其密码。

当 Apache CXF 客户端中针对设置 UsernameToken 密码调用 CallbackHandler 时，对应的 WSPasswordCallback 对象具有 USERNAME_TOKEN 使用代码。

有关 WSPasswordCallback 类的详情，请参阅 org.apache.ws.security.WSPasswordCallback。

WSPasswordCallback 类定义了几个不同的使用代码，如下所示：