本文针对运行在校园网上的校园一卡通系统的安全性需求,讨论了基于消息级的Web服务安全的相关知识及其应用。本文研究了Web服务安全性方面的一些基本理论和实践方法,对各种实现Web服务安全性的技术进行了讨论,引出了Web服务安全性的模型:传输级安全性、应用程序级安全性和消息级安全性。通过对三种模型优缺点的比较以及校园一卡通系统的实际安全需求及特点,选择将消息级的Web服务安全性作为主要的研究对象,并将其应用在校园一卡通系统中。 本文详细介绍了实现Web服务消息级别的身份验证、授权、数字签名、加密和安全通信的过程以及各种安全令牌UsernameToken、安全上下文令牌、X.509证书在以上过程中的使用。系统采用微软发布的Web服务安全开发工具包WSE2.0(Web Services Enhancements 2.0 for Microsoft.NET,Web服务增强)来作为Web服务安全的实现工具,通过利用WSE提供的安全性支持来实现基于Web服务的校园一卡通系统消息级别的Web服务安全。 根据系统中Web服务功能和使用的不同特点,本文选用了不同的Web服务安全策略及实现技术,并详细介绍了系统中典型的两个Web服务安全场景的原理与实现:用WSE实现消息级的Web服务安全通信、加密或签名SOAP消息指定的部分。灵活地解决了系统对Web服务安全性的需求,并完成了具有安全消息传递功能的采集监控模块以及数据传输模块的设计与实现。这些模块采用微软.NET平台提供的一些非常重要而且功能强大的应用程序开发技术如XML Web Service技术和.NET Remoting等技术来实现。