4

Estou construindo um webservice Java (wsdl) que será consumido via SOAP. Preciso implementar uma forma de autenticação em cada método do webservice para que a cada requisição seja testado se a origem é alguém com permissão.

Tentei seguir esse tutorial, porém não obtive bons resultados. O meu código de teste ficou assim:

@WebMethod(operationName = "autentica")
public String autentica() {
    MessageContext mContext = wsContext.getMessageContext();

    Map http_headers = (Map) mContext.get(MessageContext.HTTP_REQUEST_HEADERS);
    List userList = (List) http_headers.get("Username");
    List passList = (List) http_headers.get("Password");

    String username = "";
    String password = "";

    if(userList != null) {
        username = userList.get(0).toString();
        System.out.println("User: " + userList.get(0).toString());
    }

    if(passList != null) {
        password = passList.get(0).toString();
        System.out.println("Pass: " + passList.get(0).toString());
    }

    if (username.equals("admin") && password.equals("admin")){
        return "Hello World JAX-WS - Valid User!";
    }else{
        return "Unknown User!";
    }
}

Para consumir o webservice testei com o SOAPUI e um app ionic usando angular soap 3.0 e em ambos os cabeçalhos chegaram como nulo, fazendo com que fosse retornado "Unknown User!"

Alguém poderia me dizer o que estou fazendo de errado ou outra forma de autenticação que eu possa usar?

EDIT

IONIC App

Código usado no ionic app pra fazer a requisição para o webservice:

$soap.setCredentials("admin","admin");
$soap.post(url, "autentica").then(
    function(response) {
        console.log(response);
    }
);

Saída no console: Unknown User!

SoapUI

Setando as configurações de autenticação: inserir a descrição da imagem aqui

Retorno da requisição:

<S:Envelope xmlns:S="http://schemas.xmlsoap.org/soap/envelope/">
   <S:Body>
      <ns2:autenticaResponse xmlns:ns2="http://service.natal.rn.gov.br/">
          <return>Unknown User!</return>
      </ns2:autenticaResponse>
   </S:Body>
</S:Envelope>
6
  • O código do cliente está igual ao do tutorial? Caso não, poste-o também...
    – Genos
    16/01/2017 às 18:36
  • Porque não cria uma tag "token"? E caso esse token for igual ao do seu cadastro, ele tem permissão 23/01/2017 às 14:01
  • Para ativar autenticação BASIC em um WebService criado com o JAX-WS, a forma mais fácil é colocar uma restrição de segurança no web.xml do pacote war onde o mesmo está. Com isto feito, seu cliente IONIC ou SOAPUI irá processar normalmente o header "Authorization" e validar o usuário/senha no realm que estiver configurado para sua aplicação usando JAAS. No seu código, vc. terá acesso ao username usando uma variável do tipo WebServiceContext anotada com @Resource e chamando o método getUserPrincipal() da mesma. 23/01/2017 às 14:18
  • @LucasTorres A estratégia de token é válida, porém o problema se encontra na recepção ou envio dos dados entre os endpoints. 23/01/2017 às 17:07
  • @PhilippeSevestre irei revisar o código e tentar fazer como vc sugeriu. Logo darei retorno. 23/01/2017 às 17:07

1 Resposta 1

0

A resposta mais provável é que você não está inserindo os cabeçalhos User e Password na hora de chamar o webservice.

Na seção 3 do tutorial que você indicou, está descrito como fazer do jeito certo. Na seção 4 ele mostra como os cabeçalhos do HTTP devem chegar no servidor.

Quanto ao uso do angular-soap, o README.md do mesmo indica no exemplo 5, como configurar credenciais do jeito que ele acha que deve ser:

$soap.setCredentials("username","password");

O que no final das contas é algo como:

xmlHttp.setRequestHeader("Authorization", "Basic " + SOAPClient._toBase64(SOAPClient.userName + ":" + SOAPClient.password));

Que não é nada parecido com a sua forma de passar senha e usuário.

Parece que o SOAPUI recomenda fazer quase a mesma coisa: https://www.soapui.org/soap-and-wsdl/authenticating-soap-requests.html

Eles são baseados no método HTTP Basic Authentication.

Eu não recomendo o uso de cabeçalhos HTTP customizados, porque antigamente os navegadores não aceitavam, e sempre que alguém precisar acessar o seu webservice, você precisará escrever um manual bem maior para entenderem exatamente qual é o modo correto. Eu prefiro usar cookies, o comportamento deles é padronizado.

Alguns preferem usar HTTP Basic Authentication, também é válido.

Faz tempo que eu não trabalho com SOAP, naquela época, o ideal seria usar SAML e WS-Security. Não que eu recomende, só para constar que também é uma opção. De certo modo, é uma linda família de especificações. A maioria dos desenvolvedores abandonou SOAP para usar REST, a causa disso, é um mistério ;)

1
  • Obrigado pelas dicas! Editei a pergunta colocando o código que usei nas requisições feitas pelos 'clientes'. Com o Angular Soap, eu já tinha feito como vc sugeriu, inclusive, peço desculpas pois deveria constar na explicação da dúvida desde o começo. O uso do Soap e não do REST é devido a própria especificação do projeto que foi me passado, pois deveria ser implementado com Soap + wsdl. 17/01/2017 às 13:32

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .