签名然后加密（使用对称密钥时）：
<DerivedKeyToken> 进行加密中的步骤进行操作。<DerivedKeyToken> 进行签名中的步骤进行操作。以下示例使用对称密钥进行签名和加密。它使用消息接收者的公钥创建一个 <EncryptedKey>元素，然后使用该元素生成两个 <DerivedKeyToken> 元素，一个用于签名，一个用于加密：
可以在同一条消息中加密和签名。在大多数情况下，只需组合前面主题中给出的方法即可。本主题讨论了多种场景。
要签名然后加密（使用非对称密钥时），请执行以下操作：
或者按照加密 SOAP 主体中的步骤进行操作。
要仅加密 SOAP 主体，然后添加数字签名（使用非对称密钥时），请执行以下操作：
要加密任何安全标头元素，然后添加数字签名（使用非对称密钥时），必须使用顶级 <ReferenceList> 元素（在文档的其他地方不需要）。在这种情况下，请执行以下操作：
1 — 4 进行操作。<EncryptedData> 元素。为此，请调用 %XML.Security.EncryptedData的 Create() 类方法。在此过程中，指定所有三个参数：a. 在前面的步骤中创建的加密密钥实例。
b. 要加密的安全标头元素。
c. $$$SOAPWSReferenceEncryptedKey，指定 <EncryptedData> 如何使用加密密钥实例。
要使用 <DerivedKeyToken>进行签名，请使用以下步骤：
<DerivedKeyToken> 并将其添加到 WS-Security 标头，如创建和添加 <DerivedKeyToken> 中所述。请注意，此步骤还会创建并添加 <DerivedKeyToken> 所基于的 <EncryptedKey> 元素。
<Signature> 元素。为此，请调用 %XML.Security.Signature的 Create() 类方法。例如： set dsig=##class(%XML.Security.Signature).Create(dkt)
此方法返回 %XML.Security.Signature 的实例，该实例表示 <Signature> 标头元素。签名值通过 HMAC-SHA1 摘要算法计算，使用 <DerivedKeyToken> 隐含的对称密钥。
<Signature> 元素适用于消息的一组默认部分；可以指定一组不同的部分。
进行加密（一）
WS-Security 标头元素中。为此，请调用 Web 客户端或 Web 服务的 SecurityOut 属性的 AddSecurityElement() 方法。在这种情况下，需要两个参数：a. 安全标头元素（而不是从中生成的的 %XML.Security.EncryptedData）。
b. 引用列表实例。第二个参数指定将第一个参数指定的项目放在何处。如果参数是 A、B，则 IRIS 确保 A 在 B 之后。指定此项以便收件人首先处理引用列表，然后再处理依赖于它的加密安全标头元素。
do client.SecurityOut.AddSecurityElement(userToken,reflist)
如果仅加密了 SOAP 主体，系统会自动将 <EncryptedData> 元素作为 <Body>的子元素。
SOAP 消息。请参阅添加安全标头元素中的一般注释。例如，以下客户端代码对 SOAP 主体和 <UsernameToken>进行加密：
进行加密
要使用 <DerivedKeyToken> 进行加密，请使用以下步骤：
<DerivedKeyToken> 并将其添加到 WS-Security 标头，如创建和添加 <DerivedKeyToken> 中所述。请注意，此步骤还会创建并添加 <EncryptedKey> 所基于的 <EncryptedKey> 元素。
<EncryptedData> 元素。为此，请调用 %XML.Security.EncryptedData 的 Create() 类方法。在此过程中，请指定以下参数：a. 派生密钥令牌
b. 要加密的项目。省略此参数可加密正文。
c. 指定 <EncryptedData> 元素如何引用 <DerivedKeyToken> 的宏。在此场景中，当前唯一支持的值是 $$$SOAPWSReferenceDerivedKey。
例如，加密 <UsernameToken>：
<DerivedKeyToken>还可以创建隐式 <DerivedKeyToken>，这是引用 <DerivedKeyToken> 的快捷方法。在此方法中：
<DerivedKeyToken><DerivedKeyToken> 的元素中，<SecurityTokenReference> 元素指定 Nonce 属性，该属性包含用于 <DerivedKeyToken> 的 nonce 值。这向消息接收者表明派生密钥令牌是隐含的，并且是从引用的令牌派生的。要创建隐式 <DerivedKeyToken>，请使用前面描述的一般过程，但有两处更改：
Implied 属性设置为 1。 set dkt.Implied=1
<DerivedKeyToken> 元素添加到 WS-Security 标头元素。使用 <DerivedKeyToken> 的方式与将其包含在消息中的方式完全相同。
<EncryptedKey> 的 SHA1 哈希IRIS 支持 WS-SecureConversation 1.4 定义的 <DerivedKeyToken> 元素。可以创建并使用<DerivedKeyToken> 元素进行加密和签名，作为前三个主题中描述的方法的替代。
通常，会同时执行加密和签名。为简单起见，本主题分别介绍这些任务。有关结合加密和签名的信息，请参阅结合加密和签名。
<DerivedKeyToken> 元素旨在携带发送者和接收者可以独立使用的信息来生成相同的对称密钥。这些方可以使用该对称密钥对 SOAP 消息的指定部分进行加密、签名或同时执行这两种操作。
要生成和使用 <DerivedKeyToken>，请执行以下操作：
<EncryptedKey>元素。可以从该实体的请求消息中包含的 X.509 证书中获取公钥。或者可以提前获取它。
P_SHA1 算法从原始对称密钥计算出一个新的对称密钥。这将创建一个引用 <EncryptedKey> 元素的 <DerivedKeyToken> 元素。
对这些活动使用不同的对称密钥被认为是一种很好的做法，这样就可以减少用于分析的数据量。
<KeyInfo> 的规范化方法默认情况下，<KeyInfo> 元素使用Exclusive XML Canonicalization进行规范化，<KeyInfo> 元素包括以下内容：
<CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#">
要使用包容性 XML 规范化来规范化此元素，请执行以下操作：
Set sig.SignedInfo.CanonicalizationMethod.Algorithm=$$$SOAPWSc14n
其中 sig 是 %XML.Security.Signature 的实例。
在这种情况下， <KeyInfo> 包含以下内容：
<CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315">
默认情况下，签名的摘要值是通过 SHA-1 算法计算的，安全标头中的 <Signature> 元素包含如下内容：
<DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"></DigestMethod>
<DigestValue>waSMFeYMruQn9XHx85HqunhMGIA=</DigestValue>
可以为签名指定不同的摘要方法。为此，调用 %XML.Security.Signature 实例的 SetDigestMethod() 方法。对于参数，请使用以下宏之一（包含在 %soap.inc 文件中）：
$$$SOAPWSsha1 (the default)-$$$SOAPWSsha256
$$$SOAPWSsha384
$$$SOAPWSsha512
do sig.SetDigestMethod($$$SOAPWSsha256)
默认情况下，签名值是通过 RSA-SHA256 算法计算的，安全标头中的 <Signature> 元素包含如下内容：
要添加在签名的 SAML 断言中使用证书的数字签名，请执行以下操作：
%soap.inc 包含文件，它定义了可能需要使用的宏。 set utoken=##class(%SOAP.Security.UsernameToken).Create("_SYSTEM","SYS")
Holder-of-key 方法的<SubjectConfirmation> 元素创建签名的 SAML 断言。请参阅创建和添加 SAML 令牌。<Signature> 元素。创建时，使用已签名的 SAML 断言作为 CreateX509() 类方法的第一个参数。例如： set signature=##class(%XML.Security.EncryptedKey).CreateX509(signedassertion)
WS-Security 标头元素。为此，请调用 Web 客户端或 Web 服务的 SecurityOut 属性的 AddSecurityElement() 方法。对于参数，请指定上一步中创建的签名对象。例如： do ..SecurityOut.AddSecurityElement(dsig)
此示例显示了对其响应消息进行签名的 Web 服务。
为了使此示例在自己的环境中运行，请首先执行以下操作：
IRIS 中，创建名为 servercred 的凭证。执行此操作时，还要加载私钥文件并提供其密码（这样 Web 服务在签署其响应消息时就不必提供该密码。）该 Web 服务指的是具有此确切名称的 IRIS 凭证集。
本主题介绍如何向 IRIS Web 服务和 Web 客户端发送的 SOAP 消息添加数字签名。
通常，会同时执行加密和签名。为简单起见，本主题仅介绍签名。有关结合加密和签名的信息，请参阅主题结合加密和签名。
主题使用派生密钥令牌进行加密和签名描述了向 SOAP 消息添加数字签名的另一种方法。
可以使用数字签名来检测消息是否被篡改，或者简单地验证消息的某一部分是否确实由所列实体生成。与传统的手工签名一样，数字签名是对文档的附加，只有文档的创建者才能创建，并且不容易伪造。
IRIS 对 SOAP 消息的数字签名的支持基于 WS-Security1.1。反过来，WS-Security 遵循 XML 签名规范。根据后者的规范，要对 XML 文档进行签名：
<Signature> 元素，其中包含以下信息：以下示例调用 Web 客户端并发送已加密的 <UsernameToken>。在此示例中，正文未加密。
本主题介绍如何加密 Web 服务和 Web 客户端发送的消息中的 WS-Security 标头内的元素。（此处描述的工具也可单独使用或与安全标头元素结合使用来加密 SOAP 主体。）
通常，会同时执行加密和签名。为简单起见，本主题仅介绍加密。有关结合加密和签名的信息，请参阅结合加密和签名。
使用派生密钥令牌进行加密和签名主题描述了加密 SOAP 消息部分内容的另一种方法。
与上一主题中显示的加密技术不同，加密 WS-Security 标头元素的过程要求您指定 <EncryptedData> 元素如何连接到相应的 <EncryptedKey> 元素。
要加密安全标头元素，请执行以下操作：
%soap.inc 包含文件，它定义了可能需要使用的宏。 set userToken=##class(%SOAP.Security.UsernameToken).Create("_SYSTEM","SYS")
SOAP 消息的实体的公钥的凭证集。请参阅以编程方式检索凭证集。 set credset=..SecurityIn.Signature.X509Credentials
请务必检查返回对象的类型，看它是否是 %SYS.X509Credential的实例，如以编程方式检索凭据集中所述。
要使用签名的 SAML 断言中的证书中包含的公钥进行加密，请执行以下操作：
1–4。Holder-of-key 方法的 <SubjectConfirmation>元素创建签名的 SAML 断言。请参阅创建和添加 SAML 令牌。<EncryptedKey> 元素。执行此操作时，使用签名的 SAML 断言作为 CreateX509() 类方法的第一个参数。例如： set enckey=##class(%XML.Security.EncryptedKey).CreateX509(signedassertion)
在此示例中，Web 客户端（未显示）发送签名的请求消息，而 Web 服务发送加密响应。
Web 服务从请求消息签名中的客户端证书中获取公钥，并使用该公钥在其响应中添加一个加密的 <EncryptedKey> 元素。 <EncryptedKey> 元素使用客户端的公钥加密，它包含用于加密响应消息正文的对称密钥。
Web服务如下：
<BinarySecurityToken> 包含序列化、base-64 编码格式的证书。可以忽略此令牌，而改用标识证书的信息；接收方使用此信息从相应位置检索证书。为此，请使用上述步骤，并进行以下更改：
3 和 4。也就是说，不要添加 <BinarySecurityToken>。5（创建加密密钥）中，使用步骤 1 中设置的凭据（而不是二进制安全令牌）作为 CreateX509() 的第一个参数。例如： set enckey=##class(%XML.Security.EncryptedKey).CreateX509(credset,,referenceOption)
对于第三个参数（referenceOption），可以指定<Signature> 元素如何使用证书。
如果指定一个凭据集作为第一个参数（正如我们在此变体中所做的那样），则referenceOption的默认值为$$$SOAPWSReferenceThumbprint。 可以选择指定一个值，如本节所述。 可以使用除$$$SOAPWSReferenceDirect之外的任何值。
X.509 证书的参考选项WS-Security 标头简介部分介绍了在 SOAP 消息中使用证书的一种方法。在该示例中，数字签名由两个标头元素组成：
本主题主要介绍如何手动向 IRIS Web 服务和 IRIS Web 客户端发送的消息中添加安全元素。
以下主题提供了有关特定安全任务的详细信息。
要将安全元素添加到 WS-Security 标头元素，请在 Web 客户端或 Web 服务中使用以下常规过程：
Create() 或 CreateX509() 的方法（具体取决于类）。该实例表示 WS-Security 标头元素之一，例如 <Username> or <EncryptedKey>。Web 服务的 SecurityOut 属性，将每个实例添加到 WS-Security 标头元素。为此，请调用 AddSecurityElement() 方法。SOAP 消息。WS-Security 标头包含在消息中，并包含添加到其中的元素。Web 客户端，SecurityOut 属性保持不变，以便此实例的后续出站消息包含添加的安全标头。如果不希望这样，请将 SecurityOut 属性设置为 null。Web 服务，在第一个出站 SOAP 消息之后，SecurityOut属性会自动设置为null`。本主题介绍如何加密 IRIS Web 服务和 Web 客户端发送的 SOAP 消息正文。
主题“加密安全标头元素”和“使用派生密钥令牌进行加密和签名”描述了如何加密安全标头元素以及加密 SOAP 主体的其他方法。
IRIS 对 SOAP 消息加密的支持基于 WS-Security1.1。反过来，WS-Security 遵循 XML 加密规范。根据后者规范，要加密 XML 文档：
使用包含内容加密版本的 <EncryptedData> 元素替换文档的这些部分。
可以从该实体的请求消息中包含的 X.509 证书中获取公钥。或者可以提前获取它。
<EncryptedKey> 元素中包含加密的对称密钥。 <EncryptedKey> 元素直接或间接地提供信息，使接收者能够确定用于解密此元素的密钥。此信息可以包含在 <EncryptedKey> 元素中，或者 <EncryptedKey> 元素可以包含对包含 X.509 证书或签名的 SAML 断言的二进制安全令牌的直接引用。在后一种情况下，必须在添加 <Signature>元素之前将安全令牌添加到消息中。
此示例显示了一个需要密码验证的 Web 服务，以及一个在其请求消息中发送时间戳和用户名令牌的 Web 客户端。
注意：此示例以明文形式发送用户名和密码。
为了使此示例在自己的环境中运行，请首先执行以下操作：
Web 服务所属的 Web 应用程序，将该应用程序配置为仅支持密码验证：Web服务如下：
本主题讨论时间戳和用户令牌。
时间戳是 WS-Security 标头中的 <Timestamp> 安全元素。严格来说，时间戳不是安全元素。但是，可以使用它来避免重放攻击。时间戳对于自定义日志记录也很有用。
用户名令牌是 WS-Security 标头中的 <UsernameToken> 安全元素；它带有用户名。它还可以带有相应的密码（可选为摘要形式）。通常使用它进行身份验证，即允许 IRIS Web 客户端使用需要密码的 Web 服务。
注意：默认情况下，WS-Security 标头元素以明文形式发送。要保护 <UsernameToken> 中的密码，应该使用 SSL/TLS、加密 <UsernameToken>（如其他地方所述），或者使用这些技术的某种组合。
要将时间戳添加到 WS-Security 标头元素，请在 Web 客户端或 Web 服务中执行以下操作：
%SOAP.Security.Timestamp的 Create() 类方法。此方法需要一个可选参数（以秒为单位的过期间隔）。默认过期间隔为 300 秒。例如： set ts=##class(%SOAP.Security.Timestamp).Create()
本节提供了一些自定义配置类的示例。
以下配置类包括两种策略选择：使用 WS-Addressing 标头或不使用。
<method><method> 元素将策略与父 <service> 元素指定的 Web 服务或客户端内的特定 Web 方法相关联。<method> 元素包括以下项目：
XData 块的详细信息本节介绍 Web 服务或客户端配置类的 XData 块的内容。
<configuration>, <service>, <method>, <request>, and <response>元素都必须位于以下命名空间中：
"http://www.intersystems.com/configuration"
在本主题中，前缀 cfg 指的是该命名空间。
<configuration><configuration> 元素是 XData 块中的根元素。此元素包括以下项目：
| Attribute or Element | Purpose |
|---|---|
name | （可选）此配置的名称。如果指定，则必须与 XData 块的名称匹配。 |
<service> | （可选）将策略与 IRIS Web 服务或 Web 客户端关联。 |
<service><service> 元素将策略与 IRIS Web 服务或 Web 客户端关联。此元素包括以下项目：
除了 cfg:wsdlElement 属性（前面讨论过）之外，可能还需要在策略元素中的以下元素中添加扩展属性：
<sp:X509Token> （在 <sp:InitiatorToken> or <sp:RecipientToken> 内）
在此元素中，为 cfg:FindField 和 cfg:FindValue 属性指定一个值，这些值指定用于此令牌的 IRIS 凭证集。
cfg:FindField 属性指定要搜索的字段的名称。通常为 Alias。cfg:FindValue 属性指定该字段的值。如果 cfg:FindField 是 Alias，则这是 IRIS 凭证集的名称。例如：
<sp:X509Token IncludeToken="http://schemas.xmlsoap.org/ws/2005/07/securitypolicy/IncludeToken/Never"
cfg:FindField="Alias"
cfg:FindValue="servercred">
<wsp:Policy>
<sp:WssX509V3Token11/>
</wsp:Policy>
</sp:X509Token>
作为参考，本主题包含有关 IRIS 用于存储 WS-Policy 信息的配置类的详细信息。
要手动创建 WS-Policy 配置类，请创建 %SOAP.Configuration 的子类。在此类中，添加 XData 块，如下所示：
XData service
{
<cfg:configuration xmlns:cfg="http://www.intersystems.com/configuration" name="service">
...
XData 块具有以下一般结构：
XData service
{
<cfg:configuration ...>
<service ...>
<method ...>
<request ...>
<response ...>
...
<service>, <method>, <request>, and <response> 元素均可包含适用于该级别的策略信息。<service> 元素是必需的，但其他元素是可选的。
对于 IRIS Web 客户端，可以指定运行时要使用的策略；这将覆盖任何策略配置类。要在运行时指定策略，请设置 Web 客户端实例的 PolicyConfiguration 属性。该值必须具有以下形式：
Configuration class name:Configuration name
其中，配置类名称是策略配置类的完整包和类名，如本主题前面所述，配置名称是该类中策略的 <configuration> 元素的 name 属性的值
默认情况下，当编译配置类时，如果配置包含 IRIS 不支持的任何策略表达式， IRIS 会发出错误。要避免此类错误，请在配置类中包含以下内容：
Parameter REPORTANYERROR=0;
当从 WSDL 生成 Web 客户端或 Web 服务时，如果 IRIS 还生成配置类，则会将此参数设置包含在该类中。
只要有一个受支持的策略替代方案，就可以忽略不受支持的替代方案。
如果从 WSDL 生成配置类，并且 WSDL 位于 IRIS 此实例的外部，则必须编辑配置类以包含有关要使用的证书和 SSL/TLS 配置的信息。或者可以在运行时指定此信息。
下表给出了详细信息：
如果 Web 服务或客户端必须以编程方式选择并包含证书，请使用以下过程：
%SYS.X509Credentials 的实例，如以编程方式检索凭据集中所述。例如：
set credset=##class(%SYS.X509Credentials).GetByAlias(alias,password)
或
set credset=..SecurityIn.Signature.X509Credentials
%SOAP.Security.BinarySecurityToken 实例，其中包含来自该凭证集的证书。例如： set bst=##class(%SOAP.Security.BinarySecurityToken).CreateX509Token(credset)
其中 credentials 是在上一步中检索到的凭证集。
这将返回一个代表 <BinarySecurityToken> 元素的对象，该元素以序列化的 base-64 编码形式携带证书。
Web 客户端或 Web 服务的 SecurityOut 属性的 AddSecurityElement() 方法。对于方法参数，请使用之前创建的二进制安全令牌。例如： do ..SecurityOut.AddSecurityElement(bst)
要创建策略并将其附加到Web 服务或客户端，请创建并编译配置类。有多种方法可以创建此类：
GeneratePolicyFromWSDL() 方法从 WSDL 生成配置类。如果 Web 服务或客户端类已存在，并且您不想重新生成，则适用此选项。Web 服务或客户端手动创建配置类。如果从 WSDL 生成策略类，则可能需要按下一节所述对其进行编辑。
WSDL 生成策略在某些情况下，可能已经有客户端类，但没有相应的配置类。例如，如果从 WSDL 生成客户端类，而 WSDL 后来被修改为包含 WS-Policy 信息，则可能会发生这种情况。在这种情况下，可以使用 %SOAP.WSDL.Reader中的实用程序方法单独生成配置类，如下所示：
%SOAP.WSDL.Reader 的实例。%SOAP.WSDL.Reader 类文档。不要使用 Process() 方法。
GeneratePolicyFromWSDL() 方法。此方法具有以下签名：
本主题介绍如何在 IRIS 中使用 WS-Policy 支持。WS-Policy 使您能够指定要使用或预期的 WS-Security 标头。它还使能够指定 WS-Addressing 标头和 MTOM 的使用（在创建 Web 服务和 Web 客户端中描述）。可以在单独的类中创建策略，而不是直接编辑 Web 服务或 Web 客户端。在大多数情况下，不需要进行低级编程。
在 IRIS 中，Web 服务或客户端的策略（或策略集合）包含在单独的配置类中，即 %SOAP.Configuration的子类。编译该类时，策略生效。
通常不需要编码。但是，在某些情况下，可以通过编程指定详细信息，而不是将该元素硬编码到策略中。
当编译配置类时，Web 服务或客户端的未来操作将受到如下影响：
Web 服务或客户端根据策略的详细信息在出站消息中包含额外的标头元素。Web 服务或客户端根据策略验证传入的 SOAP 消息。这包括在适当的情况下解密传入的消息。Web 服务或客户端可以选择加密传出消息。Web 服务，WSDL 会自动受到影响。具体来说，会添加 <wsp:Policy> 元素，并且命名空间声明包括以下内容：xmlns:wsp="http://www.w3.org/ns/ws-policy"
如果收到已进行数字签名的 SOAP 消息，则相关证书可在 %SYS.X509Credentials 的实例中找到。可以检索该证书。操作方法如下：
Web 服务或 Web 客户端的 SecurityIn 属性访问 WS-Security 标头元素。这将返回 %SOAP.Security.Header 的实例。%SOAP.Security.Header 的 Signature 属性，该属性引用安全标头元素中的第一个 <Signature> 元素。%SOAP.Security.Header 的 FindElement() 方法访问实例中 %SOAP.Security.Header的第一个 <Signature> 元素。无论哪种情况，结果都是在包含数字签名的 %XML.Security.Signature 实例。
X509Credentials 属性。%SYS.X509Credentials 的实例。 if $CLASSNAME(credset)'="%SYS.X509Credentials" {set credset=""}