40、Web Services and Ajax Applications: A Comprehensive Guide

Web Services and Ajax Applications: A Comprehensive Guide

1. Web Services Security and Alternatives

在Web服务领域，安全是至关重要的。联合身份验证允许第三方代理身份信任，例如旅行社可以验证某人是否为其客户工作，这可能会影响计费和折扣。

从安全角度来看，基于SOAP的协议在安全概念的规范和部署方面比原生HTTP协议更好。不过，这并不意味着HTTP协议无法弥补这一差距，也不意味着不能将SOAP的安全特性移植到HTTP中。目前，SOAP有许多与安全相关的特性是HTTP所没有的，这些特性在实现如旅行社应用时非常有用。但需要注意的是，很多安全领域并非业余者可以涉足的，不建议个人独自为HTTP添加新的安全概念。

在资源导向的替代方案方面，一个应用程序的安全性取决于其最薄弱的环节。如果只对信用卡号进行加密传输，却简单地将其存储在数据库中，那么攻击者可能会将目标转向数据库。因此，安全观念应涵盖整个系统，而非仅仅关注网络传输的数据。

除了WS - Security规范家族，HTTPS（即传输层安全协议TLS，也称为安全套接层SSL）在实践中已被证明足以保护信用卡信息在网络传输中的安全。人们一直信任SSL来保护他们的信用卡信息，而且绝大多数攻击并不涉及破解SSL。XML签名和加密的使用也不限于WS - *相关标准，Atom联合格式标准的第5节展示了如何在Atom文档中使用这些特性，S3也实现了请求签名和访问控制。这些安全方面的特性在RESTful资源导向服务中是可行的，但目前还没有通用的实现。

资源导向架构的优势在于其促进了简单性和一致性。在构建安全应用程序时