在调用需要登录态的Web Service时，把认证令牌放到SOAP消息的头部是最常见也最清晰的做法。SOAP本身把信封分为Header和Body，Header专门用来承载与业务无关的控制信息，认证数据天然适合放在这里。
SOAP头与认证令牌的关系
SOAP信封使用<soap:Envelope>包裹，其中<soap:Header>是可选节点。我们可以在Header里定义自己的认证元素，比如<AuthToken>，把令牌字符串写进去。这样服务端的中间件就能在解析Body之前先读头做鉴权。
客户端如何构造带令牌的请求
下面以PHP的SoapClient为例，展示怎样在请求头插入令牌。我们借助SoapHeader类把自定义节点加进Header。
<?php
// 定义认证令牌
$token = 'abc123token';
// 构造SOAP头，命名空间可换成你自己的
$authHeader = new SoapHeader(
'http://tempuri.org/',
'AuthToken',
$token
);
// 创建客户端并绑定头
$client = new SoapClient(
'http://192.168.0.1/service.asmx?wsdl',
array('trace' => 1)
);
$client->__setSoapHeaders($authHeader);
// 调用业务方法
$result = $client->GetData(array('id' => 1));
echo $client->__getLastRequest();
?>
原始SOAP报文长什么样
上面代码发出的请求，简化后类似下面的XML。可以看到令牌出现在<soap:Header>里。
<?xml version="1.0" encoding="UTF-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
<soap:Header>
<AuthToken xmlns="http://tempuri.org/">abc123token</AuthToken>
</soap:Header>
<soap:Body>
<GetData xmlns="http://tempuri.org/">
<id>1</id>
</GetData>
</soap:Body>
</soap:Envelope>
服务端读取令牌的做法
以Java Spring Boot为例，可以通过拦截器从SOAP头取出令牌再做校验。
import org.springframework.ws.context.MessageContext;
import org.springframework.ws.server.endpoint.interceptor.EndpointInterceptorAdapter;
import javax.xml.namespace.QName;
public class AuthInterceptor extends EndpointInterceptorAdapter {
@Override
public boolean handleRequest(MessageContext messageContext, Object endpoint) throws Exception {
// 从SOAP头取令牌
QName qname = new QName("http://tempuri.org/", "AuthToken");
String token = (String) messageContext.getRequest().getSoapHeader().getChildElement(qname).getText();
if (!"abc123token".equals(token)) {
throw new RuntimeException("令牌无效");
}
return true;
}
}
常见注意事项
- 令牌不要写在Body的业务参数里，否则每个方法都要改签名。
- 如果服务要求签名，可以把令牌和签名都放进Header的不同节点。
- 使用HTTPS传输，避免令牌在网络上明文泄露。
把认证信息放在SOAP头，是兼顾规范与易用性的标准做法，团队内部约定好节点名和命名空间即可。