Web服务(Web Services)是近年来蓬勃兴起的一种分布式计算标准,它具有完全的平台无关性和语言无关性,具有十分广阔的市场和诱人的前景,己经成为新一代动态电子商务的核心,并且给企业集成应用带来了新的曙光。但是,由于Web服务具有极大的开放性,更多的数据和信息将会暴露于互联网之上。然而Web服务本身基于的SOAP协议在提出的时候,为了简单性和易用性,没有把安全性问题考虑在内。当前,Web服务的安全问题已经严重制约了Web服务的快速发展和应用。因此,提出适当的安全模型,制定有效的安全解决方案,对于Web服务的更快发展和应用有着至关重要的意义。本文首先分析了现有的Web服务安全技术的不足,然后通过对Web服务的相关安全规范进行深入研究,构造了一个基于SOAP消息扩展的Web服务安全模型,它由两个子模型组成:消息安全处理模型和访问控制处理模型,其中消息处理模型主要使用WS-Security中的XML加密和XML签名机制对SOAP消息中需要保护的消息进行加密和签名。为了防止重放攻击,在消息中加入了一些相关的安全属性信息,如时间戳等。另外,该消息处理模型也支持在消息中添加SAML断言,实现对用户进行跨域的身份认证。访问控制模型则是基于属性的,使用XACML,利用从消息处理模型获得的相关属性信息以及当前环境和服务本身的属性信息,按照服务的访问控制策略进行授权决策,从而使Web服务访问控制具有很好的扩展性和动态适应性。然后,根据安全模型,在J2EE平台上,设计了一个基于XFire SOAP引擎的安全框架。安全框架中包含一系列的安全处理器,与SOAP引擎无缝结合,通过可配置的方式提供加密和签名以及跨域的身份认证等安全功能。除了安全处理器,还根据访问控制模型设计了安全框架中的访问控制机制。最后,结合自适应训练系统的安全场景,利用相关的技术对安全处理框架和访问控制机制进行了实现和测试。之后,在不同数据量的情况下,比较了该处理框架与使用基于Axis SOAP引擎的安全处理框架的性能耗费程度,从实验结果可以看出前者的性能要优于后者,并对本文中的安全处理框架的性能数据进行了进一步的分析。