基于Web的電子商務解決方案

　　一、引言

　　電子商務（Electronic Commerce）是在Internet開放的網絡環境下，基于瀏覽器/服務器應用方式，實現消費者的網上購物、商戶之間的網上交易和在線電子支付的一種新型的商業運營模式。Web Service 是構筑在XML與Soap技術之上的一種典型的異構分布技術。自Web Service技術出現以來，其開放性的標準讓各個不同系 統間能夠互相交換資料。這種良好的開放性使得基于Web Service 構建電子商務系統成為趨勢?，F階段推動電子商務面臨的最大問題是如何保障電子商務過程中的安全性。由于Internet本身的開放性，使網上交易面臨了種種危險，也由此對電子商務提出了相應的安全要求，主要體現在以下幾個方面：

　　1.信息保密性。交易中的商務信息有保密的要求。如信用卡的帳號和用戶名被人知悉，就可能被盜用，訂貨和付款的信息被競爭對手獲悉，就可能喪失商機。因此在電子商務的信息傳播中一般均有加密的要求。

　　2.交易者身份的確定性。網上交易的雙方很可能素昧平生，相隔千里。要使交易成功，首先要能確認對方的身份，對商家而言要考慮客戶端不能是騙子，而客戶也會擔心網上的商店不是一個弄虛作假的黑店。因此能方便而可靠地確認對方身份是交易的前提。

　　3.不可否認性。由于商情的千變萬化，交易一旦達成是不能被否認的。否則必然會損害一方的利益。

　　4.不可修改性。交易的文件是不可被修改的，如能改動文件內容，那么交易本身便是不可靠的，客戶或商家可能會因此而蒙受損失。因此電子交易文件也要能做到不可修改，以保障交易的嚴肅和公正。

　　一個典型的Web service設置將會充分利用多種不同的技術、對象模型和編程語言，其中或許會包含簡單的Perl腳本和使用C++ 或 Java實現單個Web service，可能還會有建立在J2EE應用程序服務器之上的復雜應用。通過XML與SOAP協議的通用性，可擴展性，Web Service可以實現擴平臺的不同應用程序之間的相互通信。但同時，也付出了一定的代價：很難保證這些系統的安全性。因為不同的技術體系、不同的操作系統平臺所采用的安全認證技術是不同的，整個系統的安全級別與系統中最脆弱部分的安全級別相同，即安全系統中所謂的“木桶效應”。因此，我們要么避免使用某些技術，要么就對整個系統的安全性進行折衷。因此如何設計安全解決方案成為開發實現基于Web Service集成的電子商務系統必須解決的問題。因此本文提出基于統一安全服務（uniform security ）的Web service體系結構。

　　二、Web Service 統一安全服務體系結構

　　統一安全服務體系結構的基本想法就是將系統的安全體系結構的復雜性遷移到所謂的統一安全服務層，因而使得系統的其他部分無須承擔任何的安全職責。

　　在統一安全體系結構中，由一個單獨的服務器來實現統一安全服務，在此服務器上可以找到所有的安全算法，該服務器是對所定義域進行鑒別的唯一場所。因此，統一安全的鑒別/注冊方法還有另外一個優點：即便一個用戶在一個特定域中同許多不同的安全元素相互作用，它只需要進行一次登錄。統一安全服務其本身可能就是一個Web service，這樣可以使得系統中其它子系統可以很方便的進行安全功能的集成。

　　被鑒別方首先調用統一安全服務來請求得到一個能夠在特定域中標識其自身的身份ID。為了能夠獲得這個身份ID，被鑒別的一方首先必須提供正確的鑒別資格信息。鑒別資格信息具有多種不同的形式：例如，可以是簡單的用戶名/口令或者證書，但是也可以采用別的方法。統一安全服務使用底層潛在的安全體系結構對用戶的資格信息進行驗證，然后才賦予用戶一個身份ID。

　　具體過程如下：

　　1：被鑒別方向統一安全服務發出登陸請求
　　2：統一安全服務返回被鑒別方身份ID
　　3：被鑒別方將應用請求與身份ID發往應用服務器
　　4：應用服務器將身份ID發往統一安全服務進行認證以及判權
　　5：統一安全服務返回認證以及判權結果
　　6：應用服務器根據返回的信息做出特定回應。

　　三、基于WS-Security實現傳輸信息安全

　　電子商務環境中，除了對交易者的身份信息需要認證和判權外，還對傳輸的內容的絕密性、完整性、不可否認性有很高的要求。由于web service 傳輸的是基于Soap協議的XML文本消息，為保證傳輸信息的絕密性、完整性、不可否認性，可以利用Web service security擴展機制來實現。

　　WS-Security 主要是一個用于基于 XML 的安全性元數據容器的規范。業界已經對網絡傳輸信息安全提出了許多解決方案。例如 Kerberos 和 X.509 用于身份驗證；X.509 還使用現有的 PKI 進行密鑰管理；XML 加密和 XML 簽名描述了 XML 消息內容的加密和簽名方法；XML 標準描述了為簽名和加密而準備 XML 的方法。WS-Security通過在現有規范中添加了一個架構，用于將這些機制嵌入到 SOAP 消息中。實現了一種與傳輸無關的安全擴展方式。

　　WS-Security 定義了一個用于攜帶安全性相關數據的 SOAP 標頭元素。如果使用 XML 簽名，此標頭可以包含由 XML 簽名定義的信息，其中包括消息的簽名方法、使用的密鑰以及得出的簽名值。同樣，如果消息中的某個元素被加密，則 WS-Security 標頭中還可以包含加密信息（例如由 XML 加密定義的加密信息）。WS-Security 并不指定簽名或加密的格式，而是指定如何在 SOAP 消息中嵌入由其他規范定義的安全性信息。

　　在基于WS-Security 擴展的Web Service中，Soap傳輸的不再是簡單的XML文本消息，而是實現了WS-Security擴展的XML文件，身份證書作為XML header中的一個屬性被用戶私鑰加密，傳輸的XML BODY內容也進行了數字簽名。應用端對客戶傳輸來的信息根據客戶用戶解密進行驗證，這樣就保證了信息來源的準確以及信息完整性、保密性。下面就是一個使用了WS-Security擴展的SOAP消息，里面使用了用戶令牌與數字簽名。

<?xml version="1.0" encoding="utf-8"?>
<S:Envelope xmlns:S="http://www.w3.org/2001/12/soap-envelope"
　　　　　　xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
　　<S:Header>
　　 <m:path xmlns:m="http://schemas.xmlsoap.org/rp/">
　　　　 <m:action>http://fabrikam123.com/getQuote</m:action>
　　　　 <m:to>http://fabrikam123.com/stocks</m:to>
　　　　 <m:id>uuid:84b9f5d0-33fb-4a81-b02b-5b760641c1d6</m:id>
　　 </m:path>
　　 <wsse:Security
　　　　　　 xmlns:wsse="http://schemas.xmlsoap.org/ws/2002/04/secext">
　　　　 <wsse:UsernameToken Id="MyID">
　　　　　　 <wsse:Username>Zoe</wsse:Username>
　　　　 </wsse:UsernameToken>
　　　　 <ds:Signature>
　　　　　　<ds:SignedInfo>
　　　　　　 <ds:CanonicalizationMethod
　　　　　　　　 Algorithm=
　　　　　　　　　　　　 "http://www.w3.org/2001/10/xml-exc-c14n#"/>
　　　　　　 <ds:SignatureMethod
　　　　　　　　　　　　Algorithm=
　　　　　　　　　　　　"http://www.w3.org/2000/09/xmldsig#hmac-sha1"/>
　　　　　　 <ds:Reference URI="#MsgBody">
　　　　　　　　 <ds:DigestMethod
　　　　　　　　　　　　 Algorithm=
　　　　　　　　　　　　"http://www.w3.org/2000/09/xmldsig#sha1"/>
　　　　　　　　 <ds:DigestValue>LyLsF0Pi4wPU...</ds:DigestValue>
　　　　　　 </ds:Reference>
　　　　 </ds:SignedInfo>
　　　　　　<ds:SignatureValue>DJbchm5gK...</ds:SignatureValue>
　　　　　　<ds:KeyInfo>
　　　　　　　　<wsse:SecurityTokenReference>
　　　　　　　　 <wsse:Reference URI="#MyID"/>
　　　　　　　　</wsse:SecurityTokenReference>
　　　　　　</ds:KeyInfo>
　　　　 </ds:Signature>
　　 </wsse:Security>
</S:Header>
<S:Body Id="MsgBody">
　　 <tru:StockSymbol xmlns:tru="http://fabrikam123.com/payloads">
　　　　　　 QQQ
　　　　 </tru:StockSymbol>
　　</S:Body>
</S:Envelope>

　　其中標記<wsse:UsernameToken > 與</wsse:UsernameToken > 間的部分為用戶令牌，標記<ds:Signature>與</ds:Signature>間的部分為數字簽名。

　　四、系統性能分析

　　基于統一安全服務的Web service 電子商務解決方案由以下優點：

　　1.由于關于安全方面的處理機制全部集中在統一服務層，電子商務系統中的其它實體就沒有必要單獨實現所有的安全功能和機制。因此整個系統安全策略的制定、實施與維護變得很簡單。

　　2.SOAP對于統一安全服務的接口使Web Service統一安全服務體系結構變得非常通用。統一安全服務本身也是一個Web service，使得系統中的其它部分可以很方便的將統一安全服務集成到一起。

　　3.由于不必到處傳遞安全信用信息，統一安全服務增強了整個系統的安全性。統一安全服務層成為唯一可以接受安全信用信息的場所，所以就可以在一個廣闊的范圍里進行鑒別（超出特定的安全域），而安全信用信息卻仍然位于特定的安全域中。

　　小知識:Web service平臺是一套標準，它定義了應用程序如何在Web上實現互操作性?？梢杂萌魏文阆矚g的語言，不同的平臺中編寫Web service ，而通過Web service的標準來對這些服務進行查詢和訪問。

小知識:Web service平臺是一套標準，它定義了應用程序如何在Web上實現互操作性?？梢杂萌魏文阆矚g的語言，不同的平臺中編寫Web service ，而通過Web service的標準來對這些服務進行查詢和訪問。

原文轉自：http://www.kjueaiud.com