SOAP是基于XML的Web服务通信协议，广泛应用于跨平台、跨语言的系统交互场景，其传输的数据往往包含敏感的业务信息，因此保障SOAP通信的安全性至关重要。SOAP的安全性保障需要从协议层、传输层、应用层多维度入手，结合标准化的安全规范和加密技术实现全方位防护。
SOAP安全性的核心保障机制
SOAP本身没有内置安全机制，其安全性主要通过WS-Security标准实现。WS-Security是OASIS制定的Web服务安全规范，定义了如何在SOAP消息中嵌入安全信息，包括身份认证、消息完整性校验、消息机密性保护三大核心能力，是SOAP安全的基础框架。
除了WS-Security标准，SOAP安全性还需要结合传输层加密、身份认证体系、访问控制策略共同保障，避免单一层面的防护出现漏洞。
SOAP常用的加密方式
1. XML加密（XML Encryption）
XML加密是WS-Security规范中的核心机密性保护技术，用于对SOAP消息中的部分或全部内容进行加密，加密后的内容仍然是合法的XML格式，不会破坏SOAP消息的结构。
XML加密支持对SOAP消息的不同粒度进行加密：可以加密整个SOAP Body，也可以只加密Body中的某个敏感字段，比如用户密码、银行卡号等信息。加密过程使用对称加密算法生成会话密钥，再用接收方的公钥加密会话密钥，随加密后的内容一起放入SOAP消息中，接收方用自己的私钥解密会话密钥，再解密内容。
以下是一个简单的XML加密后的SOAP消息示例：
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
<soap:Header>
<wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
<xenc:EncryptedKey xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
<xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5"/>
<ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<wsse:SecurityTokenReference>
<wsse:KeyIdentifier EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary"
ValueType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509SubjectKeyIdentifier">
ABC123DEF456
</wsse:KeyIdentifier>
</wsse:SecurityTokenReference>
</ds:KeyInfo>
<xenc:CipherData>
<xenc:CipherValue>加密后的会话密钥内容</xenc:CipherValue>
</xenc:CipherData>
<xenc:ReferenceList>
<xenc:DataReference URI="#EncDataId"/>
</xenc:ReferenceList>
</xenc:EncryptedKey>
</wsse:Security>
</soap:Header>
<soap:Body>
<xenc:EncryptedData Id="EncDataId" xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
<xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#aes128-cbc"/>
<xenc:CipherData>
<xenc:CipherValue>加密后的SOAP Body内容</xenc:CipherValue>
</xenc:CipherData>
</xenc:EncryptedData>
</soap:Body>
</soap:Envelope>
2. XML签名（XML Signature）
XML签名用于保障SOAP消息的完整性和不可抵赖性，通过对SOAP消息的特定部分生成数字签名，接收方可以验证消息在传输过程中是否被篡改，同时确认发送方的身份。
XML签名支持三种类型： enveloped签名（签名在SOAP消息内部）、enveloping签名（签名包含被签名的内容）、detached签名（签名和被签名内容分离）。WS-Security中通常使用enveloped签名，将签名信息放在SOAP Header的Security元素中，对SOAP Body或者Header中的关键内容进行签名。
以下是一个XML签名的代码片段示例：
// 使用Java的Apache Santuario库生成XML签名
import org.apache.xml.security.signature.XMLSignature;
import org.apache.xml.security.utils.Constants;
import org.w3c.dom.Document;
public class SoapXmlSigner {
public static Document signSoapMessage(Document soapDoc, PrivateKey privateKey, X509Certificate cert) {
// 初始化XML安全库
org.apache.xml.security.Init.init();
// 创建签名对象，指定签名算法
XMLSignature signature = new XMLSignature(soapDoc, "", XMLSignature.ALGO_ID_SIGNATURE_RSA_SHA256);
// 将签名添加到SOAP Header的Security元素中
soapDoc.getElementsByTagName("wsse:Security").item(0).appendChild(signature.getElement());
// 添加要签名的内容，这里签名SOAP Body
signature.addDocument("#BodyId");
// 添加证书信息
signature.addKeyInfo(cert);
// 执行签名
signature.sign(privateKey);
return soapDoc;
}
}
3. 传输层SSL/TLS加密
SSL/TLS是传输层加密协议，通过在SOAP通信的传输层建立加密通道，保障整个SOAP消息在传输过程中不被窃听。这种方式实现简单，不需要修改SOAP消息本身的结构，只需要服务端配置SSL证书，客户端通过HTTPS协议发起请求即可。
不过SSL/TLS只能保障传输过程的安全，无法保障消息在发送方和接收方本地的安全性，也无法实现消息级别的细粒度加密，因此通常会和XML加密结合使用，形成传输层加消息层的双重防护。
4. 身份认证相关加密方式
SOAP的身份认证也会用到加密技术，常见的包括：
- 用户名令牌加密：将用户名和密码通过WS-Security的用户名令牌传递，密码可以使用摘要算法（如SHA256）处理后传输，避免明文泄露。
- X.509证书认证：发送方和接收方都持有X.509证书，通过证书的公私钥体系完成身份认证，证书本身包含公钥信息，私钥用于签名和解密。
- Kerberos票据认证：在SOAP Header中嵌入Kerberos票据，通过Kerberos密钥分发中心完成身份校验，适合企业内网环境的SOAP服务。
不同加密方式的适用场景
可以通过以下表格快速选择适合的SOAP加密方式：
| 加密方式 | 核心作用 | 适用场景 |
|---|---|---|
| XML加密 | 保护消息内容机密性 | 需要隐藏SOAP消息中的敏感字段，或者需要端到端加密的场景 |
| XML签名 | 保障消息完整性、不可抵赖性 | 需要验证消息是否被篡改，需要确认发送方身份的场景 |
| SSL/TLS | 传输通道加密 | 所有SOAP服务的基础防护，防止传输过程中被窃听 |
| 证书/Kerberos认证 | 身份合法性校验 | 需要严格控制服务访问权限，避免未授权调用的场景 |
SOAP安全配置注意事项
在实际配置SOAP安全时，需要注意以下几点：
- 优先使用最新的安全算法，避免使用已被破解的MD5、SHA1、DES等算法，对称加密推荐使用AES-256，非对称加密推荐使用RSA 2048位以上或者ECC算法。
- 密钥和证书要妥善管理，私钥不能泄露，定期轮换证书和密钥，避免长期使用同一套凭证。
- 不要只依赖单一加密方式，建议采用SSL/TLS加XML加密加XML签名的组合方案，提升整体安全性。
- 对SOAP消息的大小和复杂度做限制，避免恶意构造超大或者嵌套过深的SOAP消息发起拒绝服务攻击。
SOAP的安全性保障是一个体系化工作，没有绝对安全的方案，需要根据业务的安全等级、部署环境、性能要求选择合适的加密和防护策略，定期做安全审计和漏洞排查。
SOAPWS_SecurityXML_EncryptionXML_SignatureSSL_TLS修改时间：2026-07-16 05:51:39