随着Web服务的快速发展,其安全性问题日益受到人们的关注。针对Web服务所面临的新的安全性挑战和威胁,业界人士制定了许多保护Web服务的相关规范。Web服务安全规范(WS-Security)在现有安全性规范中添加了一个框架,用于将这些规范嵌入到简单对象访问协议(SOAP)消息中。WS-Security自身并不保证安全性,也不提供完整的安全性解决方案。本文分析了传统安全的不足及Web服务安全的新需求,研究了Web服务安全规范的结构、语法及信任机制;提出了一种基于消息层的Web服务安全模型,详细描述了此模型包含的安全处理模块,分析了在保证Web服务安全的情况下如何提高性能;实现了基于消息层Web服务安全模型的网络文件服务系统及其客户端。网络文件服务系统使用WS-Attachments规范实现Web服务发送文件,该规范是一种推荐的Web服务标准,能利用直接Internet消息封装(DIME)协议来帮助在SOAP消息中发送附件。基于消息层的Web服务安全模型不仅保证了SOAP消息的机密性和完整性,还提供了端到端的安全性和可扩展性,对Web服务提供了全面的安全保障。通过对网络文件服务系统的安全性分析,验证了该模型的安全性。