SOAP安全標題是「每個連接」嗎？

Question

我知道SOAP理論太少，需要一些幫助。
想象一下Web服務和客戶端。還有一個網關（面向互聯網），這些請求必須通過中繼。
客戶端使用客戶端證書（傳輸安全）與網關進行身份驗證。
網關反過來使用消息憑證對Web服務進行身份驗證。

我的問題：從網絡服務獲取響應後，網關是否將安全性標頭轉發給客戶端是否合理？

我在想，它的「感覺」應該是隻爲GW - > Web服務鏈接，因爲客戶端沒有在它的請求中使用任何消息安全性，但我是對還是錯？

Answer 1

你在談論三個完全不同的網絡堆棧層。無論您是否使用HTTPS加密傳輸，您是否希望使用WS-I安全保護您的消息載荷都沒有任何關係。

兩個在WS-Security的好文章（從微軟/ .NET的角度至少）：

• http://msdn.microsoft.com/en-us/library/ms788756%28v=vs.110%29.aspx

• http://msdn.microsoft.com/en-us/library/ms977327.aspx

在回答你的問題：如果你有一個SOAP安全頭，那麼你使用WS-Security的ARE，而客戶端IS將它傳遞到您的Web服務鏈接。通常，這對您的客戶端代碼和服務器代碼都是透明的;它是由.Net庫中的「中間件」處理的。