WebService的使用者控制方式與加密算法分類

我們的系統中，所有的WebSerivce都由權限控制的。記錄在此備用！

一、示例ws

@Service
@Transactional
@WebService(endpointInterface = "com.mycompany.sms.ws.SmsService", targetNamespace = "http://www.mycompany.cn/sms", serviceName = "ServiceInstance")
public class SmsServiceImpl implements SmsService {

	private SecretKey secretKey;

	@Autowired
	private SessionManager sessionManager;

	// 将十六進制數字字元串轉成位元組流【保持16位】
	private String hexStr = "3243456789123459";

	public SmsServiceImpl() {
		byte[] hex = SecurityHelper.hexStrToByte(hexStr);
		secretKey = new SecretKeySpec(hex, "DES");
	}

	@Override
	public String login(String account, String password) {
		User user = sessionManager.login(secretKey, account, password);
		return user.getSessionId();
	}

	@Override
	public void logoff(String sessionId) {
		sessionManager.logoff(sessionId);
	}

	@Override
	public boolean sendMessage(String sessionId, String msgNumber,
			String msgContent) {
		sessionManager.getUser(secretKey, sessionId);
		do something...;
		return true;
	}
}
           

備注：

1.使用時給用戶端提供一個使用者與密碼。使用者與密碼之間與ws中的key有關。

2.先登入，驗證使用者與密碼，傳回sessionId。

3.使用其它function，都要傳入sessionId，判斷session中有沒有這個ID，以及secretKey是否相等，貌似這步沒啥用。

二、session管理

@Component
public class SessionManager {

	@Autowired
	private CacheProvider cacheProvider;

	public User login(SecretKey secretKey, String account, String password) {
		SecurityHelper securityHelper = new SecurityHelper(secretKey);
		String password2;
		try {
			password2 = SecurityHelper.byteToHexStr(securityHelper
					.encode(account.getBytes("UTF-8")));
		} catch (UnsupportedEncodingException e) {
			throw new LoginException(e);
		}
		if (password2.equals(password)) {
			User user = new User(account);
			user.setSecretKey(secretKey.getEncoded());
			addSession(user);
			return user;
		} else {
			throw new LoginException("登入失敗");
		}
	}

	public void logoff(String sessionId) {
		removeSession(sessionId);
	}

	private void addSession(User user) {
		cacheProvider.put("webservice-session-" + user.getSessionId(), user);
	}

	private void removeSession(String sessionId) {
		cacheProvider.remove("webservice-session-" + sessionId);
	}

	public User getUser(SecretKey secretKey, String sessionId) {
		User user = (User) cacheProvider.get("webservice-session-" + sessionId);
		if (user == null) {
			throw new WsException("使用者未登入或登入逾時");
		} else if (!bytesEquals(secretKey.getEncoded(), user.getSecretKey())) {
			throw new WsException("沒有調用本接口的權限");
		} else {
			return user;
		}
	}

	private boolean bytesEquals(byte[] bytes1, byte[] bytes2) {
		for (int i = 0; i < bytes1.length; i++) {
			if (bytes1[i] != bytes2[i]) {
				return false;
			}
		}
		return true;
	}

}
           

備注：

cacheProvider是一個通用的緩存工具接口。

三、加密算法

上面正好看到了des，這裡簡單彙總一下加密算法：

1.HASH

MD5、SHA1、SHA256之類的都是單向HASH算法，不能從結果導出原内容，原内容有任何一點變化，HASH值都會變化。特點是不可逆。

2.對稱加密

DES、3DES、AES這些，特點是加密與解密用一樣的密鑰。DES老了不安全，AES最新。

3.非對稱加密

RSA、ECC（橢圓曲線）這些，特點是不同的密鑰，一個公，一個私。一個加的密隻能用另一個解密。公加密保證隻能私有人看到，私加密保證内容是這個人發的。

4.常用的https，可以先用非對稱加密傳遞對稱加密的密鑰，正常的内容用對稱加密來傳。