Version imprimable
Bonjour,
Je dois mettre en place des Web Services pour un projet et nos architectes nous demandent de sécuriser l'accés au WS via le principe "Basic Access Authentification" sous WebLogic 9.
Quelqu'un a t-il une idée sur comment envoyer via Soap le user et password pour s'authentifier auprès de Weblo ?
J'ai bien trouvé cette page qui parle d'interceptor mais si quelqu'un pouvait m'en donner une traduction claire ?
http://chrisdail.com/2008/03/31/apac...uthentication/
Merci à vous.
Hello, un interceptor permet de traiter un message entrant ou sortant.
Concrètement, c'est une classe, dont une méthode est executer lorsque un message arrive (ou sort).
ceci permet par exemple d'avoir une trace de tout les messages qui arrivent.
cela permet également de faire de l'authentification. L'interceptor "intercepte"
le message, control le user/password (ou autre) puis execute le service ou envoie une erreur selon le résultat de la procédure d'authentification.
Il y a plusieurs façon de sécurisé un web service.
La securité peut se faire au niveau protocole (HTTP) ou au travers du message SOAP lui-même (en utilisant par exemple la norme ws-security ou un mécanisme maison...)
La notion d'interceptor existe dans la plupart des framework/norme, que se soie cxf, axis, jax-rpc, jax-ws etc... le nom change parfois de interceptor à handler.
plusieurs interceptors peuvent être chainés.
L'avantage de cette technique est de ne pas "polluer" le service avec des notions techniques. (autrement dit, il ne serait pas pratique de devoir passer en paramètre le user/mot de passe à tout les services... sayHello(user,password,name) n'a pas vraiment de sens... et que se passerait-il si on décidait de passer en plus du user/password une clé ? On devrait réécrire tout les services ? pas très pratique...) Avec un interceptor, le service reste sous la forme sayHello(name), puis l'interceptor peut manipuler le message pour ajouter/retirer des informations comme le user/mot de passe.
On peut trouver des interceptors côté client (pour justement ajouter un mot de passe...) ou côté serveur (pour contrôler le mot de passe)
La notion d'interceptor marche bien tant que l'on est dans la même JVM (le client et l'interceptor, ou le service et l'interceptor. Le client et le service n'ont pas besoin d'être dans la même JVM évidement...)
Si la notion de sécurité dois être centralisée à travers des services utilisant plusieurs technologie (java, ruby etc..), on peut alors faire des "intermédiaires", et l'on parle alors de Security as a Service (car ce n'est plus un handler qui s'occupe de la securité, mais un service a part entière). Là aussi, il y a plusieurs variantes pour ce genre de choses, mais je n'ai jamais été jusque là...
A+