在進行資料同步的時候，有時候要呼叫一些系統自己開發的webservice，但是有些開發商為了專案進度並沒有考慮安全問題。其實採取採取基於使用者名稱和密碼的訪問控制，從實現上也是很方便的。參考網上資料，基本思路是

1 首先啟用容器的訪問控制功能；

2 客戶端在呼叫web 服務的時候，增加basic認證的引數。

具體操作步驟如下：

一

首先按照這篇文章測試好客戶端程式碼和web服務。

二

為了給wsdl的訪問增加使用者認證，需要在container，比如tomcat 裡面增加如下內容。

   <security-constraint>
      <display-name>Example Security Constraint</display-name>
      <web-resource-collection>
         <web-resource-name>Protected Area</web-resource-name>
  <!-- Define the context-relative URL(s) to be protected此處說明要保護的url是SimpleService下面的內容 -->
         <url-pattern>/services/SimpleService/*</url-pattern> 
   
  <!-- If you list http methods, only those methods are protected -->
  <http-method>DELETE</http-method>
         <http-method>GET</http-method>
         <http-method>POST</http-method>
  <http-method>PUT</http-method>
      </web-resource-collection>
      <auth-constraint>
         <!-- Anyone with one of the listed roles may access this area，此處是tomcat-users裡面定義的角色 -->
         <role-name>tomcat</role-name>
  <role-name>role1</role-name>
      </auth-constraint>
    </security-constraint>

    <!-- Default login configuration uses form-based authentication ，認證方法，目前測試form 認證無法通過客戶端呼叫-->
    <login-config>
      <auth-method>BASIC</auth-method>
      <realm-name>Example  Authentication Area</realm-name>
     <!-- <form-login-config>
        <form-login-page>/axis2-web/loginservice.jsp</form-login-page>
        <form-error-page>/axis2-web/errorservice.jsp</form-error-page>
      </form-login-config> -->
    </login-config>
        
    <!-- Security roles referenced by this web application -->
    <security-role>
      <role-name>role1</role-name>
    </security-role>
    <security-role>
      <role-name>tomcat</role-name>
    </security-role>

三 在tomcat-users.xml裡面設定 角色和賬戶

<role rolename="role1"/>
 <user username="role1" password="role1" roles="role1"/>

四 在server.xml裡面檢查Resource 和Realm的resourceName設定，此處不用修改，預設就是讀取tomcat-users.xml 的資料。

五 參考步驟一的實驗環境裡面rpcclientservice的程式碼，增加如下內容

HttpTransportProperties.Authenticator basicAuthentication = new HttpTransportProperties.Authenticator(); 
        basicAuthentication.setPassword("role1");         
        basicAuthentication.setUsername("role1");
        //basicAuthentication.setHost("localhost");
        //basicAuthentication.setDomain("localhost");
        options.setProperty(HTTPConstants.AUTHENTICATE ,basicAuthentication);

並對qname 等屬性按照實際情況進行調整，就可以通過basic 的認證方式直接呼叫wsdl的功能。

總結：在企業內部使用web服務的方式進行資料同步時，不應該不加認證的去訪問服務。如果採用ws-security 之類的方式比較困難的話，那麼利用容器提供的訪問控制功能，也能在要求不高的前提下很快實現一定的安全性。相關資料還可以參考

P.S. 在ibm 的tdi 的一個webservice 函式元件裡面，也提供了對basic 認證的設定。