Java 安全標準深度解析：WSS、SAML 與 XACML 核心機制

前言：為何需要新一代安全標準？

過去三年，信息安全領域湧現大量新標準，其中最具影響力的當屬 Web Services Security (WSS)、Security Assertion Markup Language (SAML) 與 Extensible Access Control Markup Language (XACML)。這三大標準均基於 XML，旨在解決大規模分布式環境（如互聯網）下的身份聯盟、訪問控制與消息安全難題。本文將深度剖析它們的設計動機、核心架構及協同關係。

一、共同特徵：XML 驅動的可擴展安全體系

• XML 作為統一信息載體：三者均採用 XML 表示安全斷言、策略與消息，天然具備跨平台、可擴展、工具鏈豐富優勢。
• 面向分布式環境重塑傳統安全服務：身份驗證、授權、審計等傳統服務已在單機系統成熟，但大規模跨組織系統需重新設計以支持聯邦身份、策略外部化等新需求。
• 復用而非重複造輪子：均參考現有標準（如 XML Signature, XML Encryption, X.509），最小化功能重疊。

二、SAML：身份聯盟的基石

1. 解決的核心痛點

傳統系統假設所有訪問控制信息由單一系統管理。但在跨組織分布式系統中，用戶可能由不同機構用不同方式認證，屬性分散在多個認證域。集中治理不現實，SAML 提供標準化格式交換認證斷言、屬性斷言及授權決定斷言，實現身份聯盟。

2. 演進歷程

• SAML 1.x (OASIS)：定義斷言格式、請求/響應協議、Web SSO 等核心用例。
• Liberty Alliance / Shibboleth 擴展：增加認證域間通信、隱私保護、登出協議等企業級特性。
• SAML 2.0 (2005.03 OASIS 標準)：融合上述擴展，支持多種認證/加密方法、多樣消息流，甚至兼容非 XML 遺留環境。

3. 關鍵能力

• 單點登錄 (SSO) 跨域實現
• 屬性交換與基於屬性的訪問控制 (ABAC) 基礎
• 聯合身份映射與隱私保護

三、XACML：策略外部化的標準語言

1. 突破 ACL/RBAC 表達局限

傳統基於權限矩陣或角色的訪問控制難以表達「工作日 9-18 點僅允許經理審批超 1 萬元訂單」等復雜策略，導致策略硬編碼在應用中，維護極難。XACML 以聲明式策略語言描述「主體、資源、動作、環境」四元組條件，支持義務義務、建議等高級構造。

2. 決策引擎靈活性

• 可基於資源內容、時間、位置等動態屬性決策
• 考慮請求方、接收方、中轉方等多方屬性
• 支持義務（如「90 天后刪除數據」）與建議機制

3. 與 SAML 協同

XACML 2.0 (2005.02) 專門定義了與 SAML 結合的 Profile，可將 SAML 斷言作為決策輸入，實現「身份聯盟 + 精細授權」無縫集成，也可獨立部署。

四、WSS：SOAP 消息級安全封裝

1. 定位與範圍

WSS 專注於保護 SOAP 消息完整性、機密性與發送者身份。不涉及訪問控制決策，但提供決策所需的安全上下文（如二憑證、SAML 斷言、用戶名令牌）。

2. 超越 SSL/TLS 的優勢

• 端到端安全：SSL 僅保護點到點傳輸，經中間節點時明文暴露；WSS 消息級加密簽名全程有效。
• 多重安全語義共存：同一消息可同時簽名（完整性）、加密（機密性）、攜帶多種憑證。
• 與 SOAP 處理模型深度融合：Header 安全塊可被中間件理解、轉發、驗證。

3. 核心構建塊

• <wsse:Security> Header：承載所有安全信息
• Security Token：用戶名令牌、X.509、SAML 斷言、Kerberos Ticket 等
• XML Signature / XML Encryption：簽名加密規範引用
• Security Token Reference：跨消息引用令牌

五、三大標準的協同架構圖景

+------------------+     +------------------+     +------------------+
|      SAML        |     |      XACML       |     |       WSS        |
|  Identity &      |---->|  Policy Decision |<----|  Message Security|
|  Attribute Assert|     |  Point (PDP)     |     |  (Transport)     |
+------------------+     +------------------+     +------------------+
        ^                         ^                        ^
        |                         |                        |
        |  Assertion as           |  Policy as             |  Token/Signature
        |  Decision Input         |  Enforcement Rule      |  in SOAP Header
        |                         |                        |
+------------------+     +------------------+     +------------------+
|  Identity        |     |  Policy          |     |  SOAP            |
|  Provider (IdP)  |     |  Administration  |     |  Intermediaries  |
|  / Attribute     |     |  Point (PAP)     |     |  / Endpoints     |
|  Authority       |     |                  |     |                  |
+------------------+     +------------------+     +------------------+

六、總結與展望

WSS、SAML、XACML 分別解決傳輸安全、身份聯盟、策略外部化三大核心問題，三者通過 XML 與 SOAP 標準實現鬆耦合集成。企業構建 SOA 安全體系時，建議：

1. 採用 WSS 保護服務總線與端點消息安全
2. 引入 SAML 實現跨域 SSO 與屬性聯盟
3. 部署 XACML PDP/PAP 實現統一、可審計的精細授權

後續文章將深入各標準的綁定細節、部署拓撲與性能調優實戰。