Web服务作为一个跨平台的用于点对点程序之间的通信技术,正随着计算技术、信息技术的发展,而逐渐成为下一个在迅速推动英特网发展中起到中流砥柱作用的新技术,Web服务极大地促进了分布式系统及异构系统跨平台的集成,开始广泛应用于电子商务和电子政务等领域。新兴的技术、广泛的应用趋势以及传统安全技术的不能完全照搬到新的领域现状,使得Web服务安全问题成为人们重视的焦点问题,并开始制定新的规范来保护Web服务的安全。本文介绍了Web服务以及传统的安全技术的相关知识,分析了WS-Security规范的内容与原理方法,WS-Security规范是旨在解决Web服务通信安全的一个指南,它包含了一揽子有关身份认证、保密性、完整性等方面的协议,提供一种消息级的安全服务。WS-Security规范是一个开放的规范,可以吸纳目前不同的安全技术应用到Web服务安全中,同时与SSL的全通道加密不同,WS-Security提供细粒度的安全保护,更加灵活高效。不同Web服务应用平台可以根据自己的安全需求,依托WS-Security规范构建最适合的安全保护模型。本文根据零码平台中有关Web服务部分的实际情况提出具体安全需求,在WS-Security的基础上结合并结合基于角色的访问控制策略设计出安全模型,,实现了保护Web服务中消息传递的完整性和保密性,以及身份认证和访问控制。