xfire 使用用户名/密码进行身份认证
对SOAP报文进行身份认证的方式很多，不过都是通过在SOAP报文头中添加一些安全凭证（Security Token）信息来完成的，主要包括以下一些身份凭证：
? 用户名/密码；
?? X.509证书；
?? Kerberos票据和认证者；
?? SIM卡的移动设备安全性凭证。
其中用户名/密码是最简单的身份认证方式，它不需要密钥、数字证书，所以也就不需要CA，部署实施简单易行。下面我们就通过例子讲解如何进行基于用户名/密码的SOAP认证。这个实例让客户端提供用户名/密码，服务端验证客户端的身份，而客户端按正常方式接收SOAP响应报文。
服务端
服务端创建一个applicationContext-ws-security.xml，让BbtForumService拥有用户名/密码的认证功能。
运行代码清单16-12，通过类似于TcpTrace的工具截取SOAP请求报文，用户将可以看到带WS-Security报文头的SOAP报文：
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"xmlns:xsd="http://www.w3.org/2001/XMLSchema"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"><soap:Header><wsse:Security soap:mustUnderstand="1"xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd"><wsse:UsernameToken><wsse:Username>client</wsse:Username><wsse:Password>wOtW+umoWdf/7s7pyJrlFAp2xJo=</wsse:Password><wsse:Nonce>zJlCTQNCa+jHur2JdJF8Fw==</wsse:Nonce><wsu:Created>2007-04-09T09:11:05.593Z</wsu:Created></wsse:UsernameToken></wsse:Security></soap:Header><soap:Body><getRefinedTopicCountxmlns="http://server.xfire.baobaotao.com"><in0 xmlns="http://server.xfire.baobaotao.com">20</in0></getRefinedTopicCount></soap:Body></soap:Envelope>
报文中粗体的部分为WS-Security的信息，为了简洁，我们特意删除了报文中一些命名空间的内容。
<wsse:UsernameToken> 元素被导入到SOAP报头中以携带身份信息。wsse:Username用于指定一个用户名，而<wsse:Password>则用于指定密码。有两种类型的密码：PasswordText和PasswordDigest，PasswordText以明文格式表示密码，而 PasswordDigest则被定义为Base64编码的SHA-1散列值。还有两个可选元素<wsse:Nonce> 和<wsu:Created>：前者是发送方创建的一个随机值，后者则是一个时间戳。如果<wsse:Nonce> 和<wsu:Created>两个元素中至少出现了一个，计算PasswordDigest的算法如下（每次PasswordDigest的值都是不一样的）：
PasswordDigest = Base64(SHA-1(nonce+created+password))
如果没有使用其他的安全机制，PasswordDigest是通过非保密渠道发送用户名和口令的最佳方法。即使使用XML加密对<wsse:Password>元素进行加密，PasswordText依然可以使用。
