Administrace komentářů

SOAP využívá HTTP protokol jen jako transportní vrstvu; může běžet třeba i přes SMTP. Řešit autentifikaci přes HTTP proto asi není dobré z designového/filosofického hlediska SOAP má třeba své vlastní hlavičky, zcela oddělené od HTTP hlaviček. Autentifikace se často řeší právě v SOAP hlavičkách. To je důvod, proč bych problémy nebo neobvyklosti v různých klientských knihovnách trochu očekával; ale nevím, implementace neznám.

HTTP basic autentifikace je nevhodná (zvláště při nepoužití HTTPS ) v tom, že hesla se posílají v plaintextu.

S autentifikací je to vůbec zajímavé. Všimněte si, že řada web services požaduje jak autentifikaci uživatele, nad jehož daty se pracuje, tak i identifikaci (někdy i autentifikaci) vývojáře, který vytvořil aplikaci, která s těmito daty manipuluje. Řada webových API také autentifikaci uživatele řeší tak, aby klientská aplikace nemusela mít a neměla přístup k uživatelově heslu (řeší se to otevřením prohlížeče/přesměrováním na web, kde se uživatel přihlásí a tím potvrdí platnost nějakého předtím vygenerovaného tokenu). To mi nepřijde jako moc kompatibilní s HTTP basic/digest. Některé služby (třeba Twitter) místo toho používají OAuth (jsou i jiné standardy nebo vlastní řešení) a v HTTP hlavičce Authorization prostě očekávají příslušné hodnoty pro OAuth. Ale opět bych zopakoval, že řešení přes HTTP se používá u RESTových služeb, ne u SOAPu (pokud vím).

Mám pocit, že trochu trvá než člověk pronikne do všech zákoutí tvorby webových služeb, proto bych doporučil vyhlédnout si nějakou ukázkovou implementaci a věci tak trochu opsat. Zkusit se podívat po webu, na StackOverflow je kolem toho slušné množství dotazů