我需要以双向 SSL 连接安全机制向服务器发送 soap 请求消息，还需要处理来自服务器的 Soap 响应。我正在使用 Spring MVC 以及完全使用配置的 Spring ws注释并需要以两种方式 SSL 连接进行配置，以便将 soap 请求发送到服务器。如何在我的 Spring MVC Web 服务应用程序中使用两种方式的 SSL 连接，以便通过 SSL 将我的 soap 消息发送到服务器？。

最佳答案

我可以指导您完成所有必需的步骤，但仍有不足之处。请查看我的回答，以便我可以为您提供正确的配置链接

双向 SSL 是一种带有客户端证书身份验证的 TLS 连接。它与签署 soap 请求不同(证书仅用于在 TLS 中对客户端进行身份验证(请参阅 Two-way SSL clarification )，并且签署 soap 是在 soap 主体上进行数字签名并将其包含在 soap header 中)

你需要很多东西(请勾选)

• 管理 TLS 连接的服务器。您已选择 tomcat。没问题，但我认为将 apache 与反向代理放在一起更简单

• SSL 证书，最好由可信实体颁发。如果没有，您可以生成自己的证书，但需要在后续步骤中进行额外配置

• 用于配置客户端信任库的 SSL 证书(x509 证书)的公钥

• 要在 TLS 连接中进行身份验证的客户端证书

• openssl 软件以生成证书

• 我还建议使用此应用程序(http://portecle.sourceforge.net/)to 修改 JKS keystore 而不是 hell

配置服务器

1) 生成 SSL 证书(server.crt 和 server.key)

如果您有，请转到 2)。如果没有，关注http://www.akadia.com/services/ssh_test_certificate.html

openssl genrsa -des3 -out server.key 1024
openssl req -new -key server.key -out server.csr
cp server.key server.key.org
openssl rsa -in server.key.org -out server.key
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

你会得到 server.crt 和 server.key

2) 转换为 PKCS12 (server.pfx) 配置会更简单 如果已经给你提供了证书，也会给你一个CACert。

openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt -certfile CACert.crt

3) 生成客户端证书 (client.p12) (摘自 https://gist.github.com/mtigas/952344 ) 创建证书颁发机构根 openssl genrsa -des3 -out ca.key 4096 openssl req -new -x509 -days 365 -key ca.key -out ca.crt

 Create the Client Key and CSR
 openssl genrsa -des3 -out client.key 4096
 openssl req -new -key client.key -out client.csr
 # self-signed
 openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out client.crt

 Convert Client Key to PKCS
 openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

4) 配置服务器信任库 (truststore.jks)

Open portecle
New KeyStore -> JKS
Import trusted certificate. Import client.crt and ca.crt
Save as truststore.jks

5) 使用客户端身份验证配置 tomcat SSL

https://tomcat.apache.org/tomcat-7.0-doc/config/http.html#SSL_Support 类似于 Prashant Thorat 的回答

<Connector
    port="443"
    protocol="org.apache.coyote.http11.Http11NioProtocol"
    connectionTimeout="20000"
    redirectPort="8443"
    scheme="https" 
    secure="true" 
    SSLEnabled="true"
    sslProtocol="TLS"
    keystoreFile="server.pfx"
    keystorePass="thepassword" 
    keystoreType="PKCS12"
    truststoreFile="truststore.jks"
    truststorePass="thepassword"
    truststoreType="JKS"
    clientAuth="true">

配置客户端

1) 创建客户端信任库 (client-truststore.jks) 打开 portecle，创建一个新的 JKS 并将服务器证书 (server.crt) 包含为受信任的 (

2) 创建客户端 keystore (client-keystore.jks) 打开 portecle，创建一个新的 JKS 并导入一个 key /对。使用 client.p12 或 client.crt 和 client.key。还导入 ca.crt

3) 配置 Spring 我从来没有做过 WS spring，但是用过 CXF。是同一个概念 您不需要签署 SOAP，您只需要与客户端身份验证的 TLS 连接，因此不需要 soap 配置

遵循本教程 https://secinto.wordpress.com/2013/01/21/spring-and-webservices-how-to-use-ssltls-client-authentication/

关键是

private void setupTLSSpring() throws Exception {

 ProtocolSocketFactory authSSLProtocolSocketFactory = new AuthSSLProtocolSocketFactory(new URL(
     "file:%PATH_TO_KEYSTORE%/client-keystore.jks"), PASSWORD, new URL(
     "file:%PATH_TO_TRUSTSTORE%/client-truststore.jks"), PASSWORD);

 Protocol.registerProtocol("https", new Protocol("https", authSSLProtocolSocketFactory, 8410));
 }

已编辑

如果您使用银行 API，可能银行会向服务器提供受信任的 SSL 证书和用于身份验证的客户端证书，不就是这样吗？ 在这种情况下，请忘记“配置服务器”部分

在“配置客户端”的第 1 步中，从服务器 SSL 证书中提取公钥并导入到 client-truststore.jks 中。

如果某些步骤不适合您所需的配置，请详细说明

关于java - 如何在不使用 Spring 引导和使用单独的 Apache tomcat 服务器的情况下在 Spring WS 中配置双向 SSL 连接？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/37248064/