專利名稱：一種基于表述性狀態(tài)轉(zhuǎn)移的網(wǎng)絡(luò)服務(wù)安全模型的制作方法
技術(shù)領(lǐng)域：
本發(fā)明是一種Web (網(wǎng)絡(luò))服務(wù)安全模型的解決方案，主要用于解決基于表述性狀態(tài)轉(zhuǎn)移(REpresentational State Transfer, REST)的 Web Services (網(wǎng)絡(luò)服務(wù))的安全問題，屬于Web服務(wù)領(lǐng)域。
背景技術(shù)：
Web服務(wù)是基于互聯(lián)網(wǎng)的開發(fā)模型，它是在hternet上進行分布式計算的基本構(gòu)造塊。Web Service是對象/組件技術(shù)在hternet中的延伸，是封裝成單個實體且發(fā)布到網(wǎng)絡(luò)上以供其它程序使用的功能集合。在Web Service的體系中，應(yīng)用系統(tǒng)被分割為高內(nèi)聚、弱耦合的單個服務(wù)，可以分散于Web的各個地方，通過互相調(diào)用以協(xié)同完成各種業(yè)務(wù)活動。Web服務(wù)的目的是通過使用Web標(biāo)準(zhǔn)達(dá)到應(yīng)用程序間的互操作，因此Web服務(wù)又被稱為下一代的互聯(lián)網(wǎng)。目前有很多有競爭力的Web服務(wù)框架和建議，其中最為主要的三個競爭者是微軟的.NET、IBM 的 Web Services 和 SUN 的 Open Net Environment (ONE，開放網(wǎng)絡(luò)環(huán)境)。在不同的框架和側(cè)重下，他們對Web服務(wù)進行了相應(yīng)的定義
(1) Web krvices是自包含的、模塊化的應(yīng)用程序，它可以在網(wǎng)絡(luò)(通常為ffeb)中被描述、發(fā)布、查找以及調(diào)用。(2) Web services是基于網(wǎng)絡(luò)的、分布式的模塊化組件，它執(zhí)行特定的任務(wù)，遵守具體的技術(shù)規(guī)范，這些規(guī)范使得Web Services能與其他兼容的組件進行互操作。(3) Web服務(wù)，它是指企業(yè)發(fā)布的完成其特別商務(wù)需求的在線應(yīng)用服務(wù)，其他公司或應(yīng)用軟件能夠通過^ternet來訪問并使用這項應(yīng)用服務(wù)。(4) Web服務(wù)是描述一些操作利用標(biāo)準(zhǔn)化的消息傳遞機制可以通過網(wǎng)絡(luò)訪問這些操作的接口。雖然以上各種表述有所不同，但它們都包含著一個共同涵義Web服務(wù)是指封裝成單個實體并發(fā)布到網(wǎng)絡(luò)上的功能集合體。簡單地講，Web服務(wù)是一個URL (Universal Resource Locator，統(tǒng)一資源定位符)資源，客戶端可以通過編程方式請求得到它的服務(wù)， 而無需關(guān)心服務(wù)的具體實現(xiàn)方法。另外，由于Web服務(wù)體系結(jié)構(gòu)沒有對Web服務(wù)的粒度進行限制，因而一個Web服務(wù)既可以是一個組件(小粒度)，該組件必須和其他組件結(jié)合才能進行完整的業(yè)務(wù)處理；也可以是一個應(yīng)用程序(大粒度)。當(dāng)前用于構(gòu)建Web服務(wù)的協(xié)議和標(biāo)準(zhǔn)有許多，如SOAP (簡單對象訪問協(xié)議)、WS-Security等，它們都構(gòu)筑在HTTP的基礎(chǔ)之上，卻很少使用HTTP甲的任何特性，HTTP僅僅成了一種傳輸龐大XML (可擴展標(biāo)記語言)負(fù)載的協(xié)議，它們都忽視了 Web作為分布式編程平臺的潛力。這類傳統(tǒng)的XML-RPC風(fēng)格的Web服務(wù)不具有可尋址性、可緩存性和連通性等特性，也不遵循統(tǒng)一接口。REST是對當(dāng)前Web體系結(jié)構(gòu)潛在設(shè)計原則的一種描述，也是對Web 最成功要素的總結(jié)。當(dāng)前國內(nèi)外對基于REST的Web服務(wù)的研究仍處于理論探索階段，實際應(yīng)用也停留在小的封閉系統(tǒng)和REST-RPC混合式應(yīng)用層面，無法達(dá)到Web級規(guī)模。REST軟件架構(gòu)是由Roy Thomas Fielding博士在2000年首次提出的。他為我們描繪了開發(fā)基于互聯(lián)網(wǎng)的網(wǎng)絡(luò)軟件的藍(lán)圖。REST軟件架構(gòu)是一個抽象的概念，是一種為了實現(xiàn)這一互聯(lián)網(wǎng)的超媒體分布式系統(tǒng)的行動指南。利用任何的技術(shù)都可以實現(xiàn)這種理念。 REST是應(yīng)用于編程樣式和HTTP協(xié)議的經(jīng)過深思熟慮的敏感限制集合。REST提倡通用的基于URL的資源尋址語法、一小組標(biāo)準(zhǔn)HTTP方法、無狀態(tài)客戶機-服務(wù)器協(xié)議、XML文檔和用于表示資源的其他媒體類型。REST有如下優(yōu)點
1.可以利用緩存Cache來提高響應(yīng)速度
2.通訊本身的無狀態(tài)性可以讓不同的服務(wù)器的處理一系列請求中的不同請求，提高服務(wù)器的擴展性
3.瀏覽器即可作為客戶端，簡化軟件需求
4.相對與其他疊加在HTTP協(xié)議之上的機制，REST的軟件依賴性更小
5.不需要額外的資源發(fā)現(xiàn)機制
6.在軟件技術(shù)演進中的長期的兼容性更好
本文擬采用基于REST的面向資源的架構(gòu)(ReSource-Oriented AR-chitecture, R0A) 替代XML-RPC風(fēng)格的架構(gòu)來設(shè)計Web服務(wù)，并針對Web服務(wù)請求響應(yīng)交互模型提出一種語義搜索方法來發(fā)現(xiàn)服務(wù)。

發(fā)明內(nèi)容
技術(shù)問題本發(fā)明的目的是提供一種基于表述性狀態(tài)轉(zhuǎn)移的網(wǎng)絡(luò)服務(wù)安全模
型，是一種Web服務(wù)安全模型的解決方案，主要用于解決基于REST的Wfeb Services的安全問題。本發(fā)明采用基于REST的面向資源的架構(gòu)替代XML-RPC風(fēng)格的架構(gòu)來設(shè)計Web 服務(wù)，并根據(jù)安全的需要設(shè)計了整個安全模型。技術(shù)方案本發(fā)明是一種策略性的方案，首先根據(jù)REST的思想設(shè)計了一個 RESTFuI的ffeb krcives。然后根據(jù)安全需要設(shè)計出一整個安全模型。本方法主要應(yīng)用在 Web服務(wù)領(lǐng)域。一、體系結(jié)構(gòu)
圖1給出了基于REST的ffeb Services安全模型的結(jié)構(gòu)圖。其中包括下列組成部分 Web服務(wù)請求者、Web服務(wù)提供者、服務(wù)資源搜索模塊、HTTP消息安全處理模塊、基于REST 的資源設(shè)計模塊、XKMS (公鑰管理規(guī)范)服務(wù)器、SAML (安全斷言標(biāo)記語言)服務(wù)器和訪問控制器。本發(fā)明的主要貢獻是采用了能更好的體現(xiàn)HTTP風(fēng)格的基于REST的面向資源的構(gòu)架、而不是傳統(tǒng)的XML-RPC風(fēng)格的構(gòu)架來實現(xiàn)Wfeb Services，并在此基礎(chǔ)上設(shè)計了整個安全模型。下面給出前每個模塊的具體介紹 1. Web服務(wù)請求者
Web服務(wù)請求者是申請服務(wù)的一方，是Web服務(wù)的消費者，可以是客戶應(yīng)用程序、組件或者一個Web服務(wù)。
2. Web服務(wù)提供者
服務(wù)提供者擁有Web服務(wù)，它對Web服務(wù)請求者進行身份認(rèn)證、授權(quán)檢測，并向合法的 Web服務(wù)請求者提供資源。3.服務(wù)資源搜索模塊
本模塊是一個基于SAWADL語義服務(wù)描述模型的服務(wù)資源搜索框架。以便于讓服務(wù)請求者快速、便捷地定位合適的服務(wù)資源。4. HTTP消息安全處理模塊
HTTP消息處理模塊的主要功能是通過對HTTP消息的安全擴展，負(fù)責(zé)進行服務(wù)雙方的身份驗證以及Web服務(wù)傳輸過程中的安全性，它實現(xiàn)了安全性的5個需求，即保證了消息的機密性、完整性、可用性、消息源認(rèn)證性、不可否認(rèn)性，提供端到端的安全性、應(yīng)用的獨立性、 傳輸?shù)莫毩⑿?、存儲消息的安全性等HTTP通信中所需要的典型安全特性。主要由安全屬性處理、XML簽名處理、XML加密處理、驗證信息處理四個部分組成。5.基于REST的資源設(shè)計模塊
本模塊是本發(fā)明的重點部分，包括資源的設(shè)計、資源的名稱及表示、資源間的鏈接及資源的描述三部分。6. XKMS 服務(wù)器
XKMS服務(wù)器與(公鑰基礎(chǔ)設(shè)施)服務(wù)器相連，為Web服務(wù)提供基于XML的公用密鑰基礎(chǔ)結(jié)構(gòu)，用來管理密鑰和證書信息，控制密鑰的注冊、恢復(fù)和取消。7. SAML 服務(wù)器
負(fù)責(zé)身份認(rèn)證，實現(xiàn)單點登陸，減少Web服務(wù)的負(fù)擔(dān)，減少安全通信的次數(shù)，提高安全性。8.訪問控制器
用于權(quán)限分配與認(rèn)證，具有相應(yīng)權(quán)限的用戶才能訪問某些資源。二、方法流程
下面給出幾個主要模塊的方法流程。1、服務(wù)資源搜索模塊
本模塊是一個基于SAWADL語義服務(wù)描述模型的服務(wù)資源搜索框架。SAffADL模型定義了 QOS語義、執(zhí)行語義、功能語義和接口語義共4種服務(wù)資源語義標(biāo)注信息，覆蓋服務(wù)資源搜索的全過程。其中QOS語義信息用于描述語義服務(wù)的服務(wù)質(zhì)量， 便于提高語義服務(wù)自動發(fā)現(xiàn)和組合的質(zhì)量；執(zhí)行語義信息用于描述語義服務(wù)執(zhí)行時的前置操作和后置操作，便于進行語義服務(wù)的組合和動態(tài)配置；功能語義信息用于描述語義服務(wù)的功能，包括服務(wù)的分類、服務(wù)提供的功能等，便于進行精確的語義服務(wù)自動發(fā)現(xiàn)；接口語義信息用于描述語義服務(wù)的操作、消息，便于進行語義服務(wù)自動發(fā)現(xiàn)和組合?；赟AWADL 模型的服務(wù)資源搜索模塊主要包括5個部分資源獲取模塊、斷言及關(guān)鍵字索引庫、語義索引庫、SAffADL語義服務(wù)資源快照和資源匹配模塊。服務(wù)提供者把要發(fā)布資源的WADL轉(zhuǎn)換成SAWADL格式的服務(wù)資源描述文件，資源獲取模塊負(fù)責(zé)將發(fā)布在互聯(lián)網(wǎng)中符合SAWADL服務(wù)描述規(guī)范的服務(wù)資源描述文件提取出來。提取的服務(wù)描述文件經(jīng)過解析后，一方面形成SAWADL語義服務(wù)資源快照，另一方面進行概念索引，然后用以上提到的4種語義標(biāo)注元素分別建立索引表供資源匹配模塊使用。SAWADL語義服務(wù)資源快照庫保存已獲取的語義服務(wù)資源描述文件，而且最終返回給用戶的搜索結(jié)果也將從中獲取。斷言及關(guān)鍵字索引庫保存服務(wù)資源描述文件中包含的斷言和分類關(guān)鍵字。語義索引庫、斷言及關(guān)鍵字索引庫為資源匹配模塊提供語義信息，支撐語義匹配的全過程。資源匹配模塊負(fù)責(zé)將用戶的查詢條件按以上4種語義標(biāo)注元素進行解析，并將解析后的查詢條件分別與對應(yīng)的索引項進行匹配。HTTP消息處理模塊
HTTP消息處理模塊的主要功能是通過對HTTP消息的安全擴展，負(fù)責(zé)進行服務(wù)雙方的身份驗證以及Web服務(wù)傳輸過程中的安全性，它實現(xiàn)了安全性的5個需求，即保證了消息的機密性、完整性、可用性、消息源認(rèn)證性、不可否認(rèn)性，提供端到端的安全性、應(yīng)用的獨立性、 傳輸?shù)莫毩⑿?、存儲消息的安全性等HTTP通信中所需要的典型安全特性。服務(wù)請求者對HTTP消息的安全處理過程如下
(1)服務(wù)請求者從XKMS服務(wù)器取得服務(wù)提供者的認(rèn)證書。(2)服務(wù)請求者將生成的SAML斷言加入HTTP消息中。(3)服務(wù)請求者用自己的認(rèn)證書中的私鑰對HTTP消息簽名。(4)用服務(wù)提供者認(rèn)證書中的公鑰對HTTP消息加密。(5)將服務(wù)請求者的認(rèn)證書加入HTTP消息，發(fā)送給服務(wù)提供者。服務(wù)提供者接收到HTTP消息后的安全處理過程如下
(1)服務(wù)提供者接收到消息后，定位消息中的認(rèn)證書，向XKMS確定該證書的有效性，判斷證書的狀態(tài)及有效性。(2)取出其中的公鑰驗證簽名。(3)服務(wù)提供者利用自己的認(rèn)證書中的私鑰解密。(4)根據(jù)SAML斷言中的權(quán)限信息決定服務(wù)請求者是否有權(quán)限訪問請求資源。若有權(quán)訪問，則滿足服務(wù)請求者的請求，并發(fā)送HTTP響應(yīng)消息；否則拒絕服務(wù)請求者的請求?；赗EST的資源設(shè)計模塊
本模塊是本發(fā)明的重點部分，包括資源的設(shè)計、資源的名稱及表示、資源間的鏈接及資源的描述三部分。(1)資源的設(shè)計
使用面向?qū)ο蟮姆椒▉碓O(shè)計資源，并且每個資源對外只暴露一個統(tǒng)一接口，最多支持6 種HTTP方法，允許執(zhí)行創(chuàng)建、修改、讀取和刪除等4種基本操作。在進行資源設(shè)計時，先規(guī)劃一個數(shù)據(jù)集，該數(shù)據(jù)集是服務(wù)將要暴露的或者要讓用戶去構(gòu)建的，然后把其中部分?jǐn)?shù)據(jù)作為HTTP資源來發(fā)布。這些資源分為3類(1)預(yù)定義的一次性資源。它們具有一個作為其他資源人口的URI，客戶端可以獲取它的某種表示，但不能刪除或更改此類資源。(2)對應(yīng)于各數(shù)據(jù)項的資源。根據(jù)客戶端的權(quán)限可對這類資源進行創(chuàng)建、修改、讀取或刪除操作。 (3)代表數(shù)據(jù)集上執(zhí)行算法結(jié)果的資源。這類資源不是事先明確定義好的，而是符合某種查詢條件的資源集合。在進行資源設(shè)計時如何劃分或確定資源粒度尤為重要。為此，本文根據(jù)對象的不同分別確定資源的粒度，從而確定相應(yīng)資源的操作類型。比如一次對多個資源進行操作或者批量創(chuàng)建資源，則可以暴露一個可被創(chuàng)建、更新和刪除的“工廠”資源；或者應(yīng)用涉及到比較復(fù)雜的事務(wù)，也可把事務(wù)本身暴露為一個可被創(chuàng)建、更新和刪除的資源。
(2)資源的名稱及資源的表示
資源的名稱也是資源的URI，URI遵循如下3條規(guī)則(1)用路徑變量來表達(dá)層次結(jié)構(gòu)，形如“/parent/chi 1 d” ；(2)用逗號或者分號來表達(dá)非層次結(jié)構(gòu)，形如“ /parent/ childl;child2”；(3)用查詢變量表達(dá)算法的輸入，如“http://驟w_google.cn/ search q=REST&start=30,'o確定了要暴露的資源并為之設(shè)計了 URI后，當(dāng)客戶端通過URI 請求某個資源時，服務(wù)端返回的數(shù)據(jù)類型及格式取決于資源表示的設(shè)計。一個資源表示至少滿足2個條件首先，要能傳達(dá)資源的當(dāng)前狀態(tài)；其次，要能連接到可能的下個應(yīng)用狀態(tài)或資源狀態(tài)，以起到推進狀態(tài)的作用。(3)資源間的鏈接及資源的描述
在基于REST的服務(wù)里，表示的主要用途是傳達(dá)資源狀態(tài)，不僅包含數(shù)據(jù)，還包含指向其他資源的鏈接。服務(wù)器通過表示告訴客戶端當(dāng)前狀態(tài)有哪些后續(xù)狀態(tài)可以進入，鏈接起到的就是推進狀態(tài)的作用，客戶端應(yīng)用狀態(tài)在服務(wù)器提供的表示的指引下發(fā)生變化，這種資源間鏈接的特性被稱為“連通性”。Programmable Web上有3種類型的服務(wù).RPC風(fēng)格的服務(wù)通過單個URI來暴露所有服務(wù)，它既不是可尋址的，也不是連通的；REST-RPC風(fēng)格的服務(wù)是可尋址的，但不是連通的；REST風(fēng)格的服務(wù)既可尋址，也是連通的。本文采用WADL(Web Application Description Language)描述資源，WADL由SUN公司提出，它是一種用于表達(dá)“HTTP行為”的XML詞匯，它描述了服務(wù)所暴露的所有資源以及在這些資源上執(zhí)行的操作。可以向客戶端提供一個描述服務(wù)所暴露的資源的WADL文件，也可以在某個特定資源的表示里嵌入一段WADL，以告訴客戶端如何處理該資源。一個WADL文檔主要包括4個部分 (1)資源列表，用于描述應(yīng)用中所有的資源；(2)資源之間的關(guān)系，用于說明資源之間的鏈接關(guān)系；(3)所有應(yīng)用于每個資源的特定的方法；(4)資源的表示。WADL文檔還告訴客戶端在發(fā)送請求時附加某些HTTP報頭，以及請求失敗時返回哪種狀態(tài)碼。有益效果當(dāng)前Web服務(wù)中最基礎(chǔ)的SOAP協(xié)議采用的是基于遠(yuǎn)程過程調(diào)用(RPC) 的交互模型，這種交互模型在相對封閉的、小的應(yīng)用環(huán)境中取得了較大成功。然而，在Web 這個開放、分布的環(huán)境中會產(chǎn)生緊密耦臺和接口復(fù)雜等問題，難以達(dá)到Web級的規(guī)?？缮炜s性。針對上述的不足，本發(fā)明提供了一種基于REST的ffeb krvices安全模型。采用基于REST的Web Services模型有如下優(yōu)點
1.可以利用緩存Cache來提高響應(yīng)速度
2.通訊本身的無狀態(tài)性可以讓不同的服務(wù)器的處理一系列請求中的不同請求，提高服務(wù)器的擴展性
3.瀏覽器即可作為客戶端，簡化軟件需求
4.相對與其他疊加在HTTP協(xié)議之上的機制，REST的軟件依賴性更小
5.不需要額外的資源發(fā)現(xiàn)機制
6.在軟件技術(shù)演進中的長期的兼容性更好


圖1是基于REST的Wfeb Services安全模型功能圖。圖2是HTTP消息處理模塊的具體流程。圖3是整個模型的狀態(tài)流程圖。
具體實施例方式為了方便描述，我們假設(shè)有如下應(yīng)用實例
有一個Web服務(wù)提供者A擬發(fā)布一個Wfeb Services-C, 一個Web服務(wù)請求者申請使用這個 Web Services。具體的實施方案為
首先，Web服務(wù)提供者A需要設(shè)計這個ffeb Services _C，并在網(wǎng)上發(fā)布供Web服務(wù)請求者使用，具體過程為
I)A需要為所有的資源定義唯一的ID:URI。通常，值得被URI標(biāo)識的資源要比數(shù)據(jù)庫記錄抽象的多。例如，一個定單資源可以由定單項、地址以及許多其它方面(可能不希望作為單獨標(biāo)識的資源暴露出來)組成。標(biāo)識所有值得標(biāo)識的事物一個流程或者流程步驟、一次銷售、一次談判、一份報價請求——這都是應(yīng)該被標(biāo)識的事物的示例。2)將所有的資源鏈接在一起。任何可能的情況下，使用鏈接指引可以被標(biāo)識的資源。3)定義標(biāo)準(zhǔn)方法。使用面向?qū)ο蟮姆椒▉碓O(shè)計資源，并且每個資源對外只暴露一個統(tǒng)一接口，最多支持6種HTTP方法(GET、POST、PUT、DELETE、HEAD和OPTIONS)，允許執(zhí)行GET、POST、PUT和DELETE等4種基本操作。4)對服務(wù)進行描述、發(fā)布。使用 WADL(web Application Description Language) 來描述資源，并把要發(fā)布資源的WADL轉(zhuǎn)換成SAWADL格式的服務(wù)資源描述文件。然后資源獲取模塊將發(fā)布在互聯(lián)網(wǎng)中符合SAWADL服務(wù)描述規(guī)范的服務(wù)資源描述文件提取出來。提取的服務(wù)描述文件經(jīng)過解析后，一方面形成SAWADL語義服務(wù)資源快照，另一方面進行概念索引，然后用以上提到的4種語義標(biāo)注元素分別建立索引表供資源匹配模塊使用。然后將已獲取的語義服務(wù)資源描述文件保存在SAWADL語義服務(wù)資源快照庫。將服務(wù)資源描述文件中包含的斷言和分類關(guān)鍵字保存在斷言及關(guān)鍵字索引庫。經(jīng)過上述4步以后，Web服務(wù)提供者A已經(jīng)把需要發(fā)布的W^eb Services-C實現(xiàn)并發(fā)布在網(wǎng)上，以供Web服務(wù)請求者B申請使用。接著，Web服務(wù)請求者B需要通過服務(wù)搜索并申請調(diào)用W^eb Services-C0具體過程如下
5)首先Web服務(wù)請求者B通過資源匹配模塊將查詢條件按4種語義標(biāo)注元素進行解析，并將解析后的查詢條件分別與對應(yīng)的索引項進行匹配，其間語義索引庫、斷言及關(guān)鍵字索引庫為資源匹配模塊提供語義信息，支撐語義匹配的全過程。最終從SAWADL語義服務(wù)資源快照庫中獲取到搜索結(jié)果。在本例中，檢索的結(jié)果就是Web服務(wù)C。然后Web服務(wù)請求者B需要和Web服務(wù)提供者A建立通信。在本例中采用HTTP 通信。首先服務(wù)請求者B對HTTP消息的安全處理過程如下
6)服務(wù)請求者從XKMS服務(wù)器取得服務(wù)提供者的認(rèn)證書。7)服務(wù)請求者將生成的SAML斷言加入HTTP消息中。8)服務(wù)請求者用自己的認(rèn)證書中的私鑰對HTTP消息簽名。9)用服務(wù)提供者認(rèn)證書中的公鑰對HTTP消息加密。10)將服務(wù)請求者的認(rèn)證書加入HTTP消息，發(fā)送給服務(wù)提供者。服務(wù)提供者A收到服務(wù)請求者B的消息后，將進行處理判段，具體過程如下
II)服務(wù)提供者接收到消息后，定位消息中的認(rèn)證書，向XKMS確定該證書的有效性，判
9斷證書的狀態(tài)及有效性。12)取出其中的公鑰驗證簽名。13)服務(wù)提供者利用自己的認(rèn)證書中的私鑰解密。14)根據(jù)SAML斷言中的權(quán)限信息決定服務(wù)請求者是否有權(quán)限訪問請求資源。若有權(quán)訪問，則滿足服務(wù)請求者的請求，并發(fā)送HTTP響應(yīng)消息；否則拒絕服務(wù)請求者的請求。至此，如果服務(wù)請求者B有使用Web服務(wù)C的權(quán)限的話，他講成功調(diào)用服務(wù)提供者 A提供的Web服務(wù)C。
權(quán)利要求
1. 一種基于表述性狀態(tài)轉(zhuǎn)移的網(wǎng)絡(luò)服務(wù)安全模型，其特征在于該方法所包含的步驟為首先，Web服務(wù)提供者A需要設(shè)計一個網(wǎng)絡(luò)服務(wù)^^吐Services _C，并在網(wǎng)上發(fā)布供狗匕服務(wù)請求者使用，具體過程為(1)Web服務(wù)提供者A需要為所有的資源定義唯一的ID統(tǒng)一資源定位符URI ；通常，值得被URI標(biāo)識的資源要比數(shù)據(jù)庫記錄抽象的多；標(biāo)識所有值得標(biāo)識的事物一個流程或者流程步驟、一次銷售、一次談判、一份報價請求，這都是應(yīng)該被標(biāo)識的事物的示例；(2)將所有的資源鏈接在一起，任何可能的情況下，使用鏈接指引可以被標(biāo)識的資源；(3)定義標(biāo)準(zhǔn)方法，使用面向?qū)ο蟮姆椒▉碓O(shè)計資源，并且每個資源對外只暴露一個統(tǒng)一接口，最多支持6種超文本傳輸協(xié)議HTTP方法，分別是GET、POST、PUT、DELETE、HEAD和 OPTIONS方法，允許執(zhí)行GET、POST、PUT和DELETE 4種基本操作；(4)對服務(wù)進行描述、發(fā)布，使用網(wǎng)絡(luò)應(yīng)用描述語言WADL來描述資源，并把要發(fā)布資源的網(wǎng)絡(luò)應(yīng)用描述語言WADL轉(zhuǎn)換成SAWADL格式的服務(wù)資源描述文件，然后資源獲取模塊將發(fā)布在互聯(lián)網(wǎng)中符合SAWADL服務(wù)描述規(guī)范的服務(wù)資源描述文件提取出來，提取的服務(wù)描述文件經(jīng)過解析后，一方面形成SAWADL語義服務(wù)資源快照，另一方面進行概念索引，然后用以上提到的4種語義標(biāo)注元素分別建立索引表供資源匹配模塊使用，然后將已獲取的語義服務(wù)資源描述文件保存在SAWADL語義服務(wù)資源快照庫，將服務(wù)資源描述文件中包含的斷言和分類關(guān)鍵字保存在斷言及關(guān)鍵字索引庫；經(jīng)過上述4步以后，Web服務(wù)提供者A已經(jīng)把需要發(fā)布的ffeb krvices-C實現(xiàn)并發(fā)布在網(wǎng)上，以供Web服務(wù)請求者B申請使用；接著，Web服務(wù)請求者B需要通過服務(wù)搜索并申請調(diào)用ffeb Services-C ；具體過程如下(5)首先Web服務(wù)請求者B通過資源匹配模塊將查詢條件按4種語義標(biāo)注元素進行解析，并將解析后的查詢條件分別與對應(yīng)的索引項進行匹配，其間語義索引庫、斷言及關(guān)鍵字索引庫為資源匹配模塊提供語義信息，支撐語義匹配的全過程，最終從SAWADL語義服務(wù)資源快照庫中獲取到搜索結(jié)果，檢索的結(jié)果就是Web Services-C ；然后Web服務(wù)請求者B需要和Web服務(wù)提供者A建立通信，采用超文本傳輸協(xié)議HTTP 通信，首先Web服務(wù)請求者B對HTTP消息的安全處理過程如下(6)Web服務(wù)請求者B從公鑰管理規(guī)范XKMS服務(wù)器取得服務(wù)提供者的認(rèn)證書，(7)Web服務(wù)請求者B將生成的安全斷言標(biāo)記語言SAML斷言加入HTTP消息中，(8)Web服務(wù)請求者B用自己的認(rèn)證書中的私鑰對HTTP消息簽名，(9)用Web服務(wù)提供者A認(rèn)證書中的公鑰對HTTP消息加密，(10)將Web服務(wù)請求者B的認(rèn)證書加入HTTP消息，發(fā)送給服務(wù)提供者，Web服務(wù)提供者A收到Web服務(wù)請求者B的消息后，將進行處理判段，具體過程如下(11)Web服務(wù)提供者A接收到消息后，定位消息中的認(rèn)證書，向XKMS確定該證書的有效性，判斷證書的狀態(tài)及有效性，(12 )取出其中的公鑰驗證簽名，(13)Web服務(wù)提供者A利用自己的認(rèn)證書中的私鑰解密，(14)根據(jù)SAML斷言中的權(quán)限信息決定服務(wù)請求者是否有權(quán)限訪問請求資源，若有權(quán)訪問，則滿足服務(wù)請求者的請求，并發(fā)送HTTP響應(yīng)消息；否則拒絕服務(wù)請求者的請求，至此，如果Web服務(wù)請求者B有使用Web Services-C的權(quán)限的話，他將成功調(diào)用Web 服務(wù)提供者A提供的Wfeb Services-C0
全文摘要
本發(fā)明提供了一種基于表述性狀態(tài)轉(zhuǎn)移的網(wǎng)絡(luò)服務(wù)安全模型是一種Web服務(wù)安全模型的解決方案，主要用于解決基于REST的WebServices的安全問題。網(wǎng)絡(luò)服務(wù)安全模型包括下列組成部分Web服務(wù)請求者、Web服務(wù)提供者、服務(wù)資源搜索模塊、HTTP消息安全處理模塊、基于REST的資源設(shè)計模塊、XKMS(公鑰管理規(guī)范)服務(wù)器、SAML(安全斷言標(biāo)記語言)服務(wù)器和訪問控制器。本發(fā)明的主要貢獻是采用了能更好的體現(xiàn)HTTP風(fēng)格的基于REST的面向資源的構(gòu)架、而不是傳統(tǒng)的XML-RPC風(fēng)格的構(gòu)架來實現(xiàn)WebServices，并在此基礎(chǔ)上設(shè)計了整個安全模型。
文檔編號H04L29/08GK102255969SQ20111019754
公開日2011年11月23日 申請日期2011年7月14日 優(yōu)先權(quán)日2011年7月14日
發(fā)明者付雄, 夏奇思, 宋筱寧, 王汝傳, 蔣凌云, 韓志杰 申請人:南京郵電大學(xué)