SOAP WebService 调用中认证失败的排查与正确实现方案-java教程-PHP中文网

SOAP WebService 调用中认证失败的排查与正确实现方案

本文详解 Android 平台使用 ksoap2 调用带身份验证的 SOAP WebService 时常见的 START_TAG 解析错误，指出根本原因是服务端要求 HTTP Basic 认证而非 WS-Security 消息级认证，并提供可直接运行的 transport-level 认证代码及关键注意事项。

本文详解 android 平台使用 ksoap2 调用带身份验证的 soap webservice 时常见的 `start_tag ` 解析错误，指出根本原因是服务端要求 http basic 认证而非 ws-security 消息级认证，并提供可直接运行的 transport-level 认证代码及关键注意事项。

在 Android 开发中，通过 ksoap2 库调用 SOAP WebService 是常见需求，但当服务端启用身份验证时，极易因认证方式不匹配导致请求失败。你遇到的典型错误：

expected: START_TAG {http://schemas.xmlsoap.org/soap/envelope/}Envelope (position:START_TAG @2:44 in java.io.InputStreamReader@54570a0)

本质并非 SOAP 协议解析异常，而是服务端在未通过认证时返回了 HTTP 401 Unauthorized 响应页（HTML 格式），而 ksoap2 试图将其当作 SOAP Envelope 解析，自然抛出 START_TAG 的致命错误。

该问题的核心在于：消息级认证（WS-Security Header）与传输级认证（HTTP Authorization Header）不可混用，且必须与服务端实际要求严格一致。从错误响应反推，你的服务端（如 ASP.NET ASMX 或 IIS 托管服务）极大概率启用了基于 HTTP Basic 的传输层认证，而非 WS-Security 用户名令牌（UsernameToken）。

✅ 正确解决方案是移除自定义 WS-Security Header（envelope.headerOut），改用 HttpTransportSE.call() 的重载方法，在 HTTP 层注入 Authorization: Basic xxx 头：

// 1. 构建 SOAP 请求体（保持不变）
SoapObject request = new SoapObject(NAMESPACE, METHOD_NAME);
PropertyInfo deviceIdPI = new PropertyInfo();
deviceIdPI.setName("device_id");
deviceIdPI.setValue(deviceId);
deviceIdPI.setType(String.class);
request.addProperty(deviceIdPI);

// 2. 创建信封（注意：不再设置 headerOut）
SoapSerializationEnvelope envelope = new SoapSerializationEnvelope(SoapEnvelope.VER11);
envelope.dotNet = false;
envelope.setOutputSoapObject(request);

// 3. 配置 HTTP 传输层认证头
HttpTransportSE androidHttpTransport = new HttpTransportSE(URL);
androidHttpTransport.debug = true; // 启用调试，便于查看实际请求/响应

// ✅ 关键：构造 Basic Auth Header
List<headerproperty> headers = new ArrayList();
String auth = USER_NAME + ":" + PASSWORD;
// 使用 ksoap2 自带 Base64（推荐，避免依赖 Android API 版本）
String encodedAuth = org.kobjects.base64.Base64.encode(auth.getBytes());
headers.add(new HeaderProperty("Authorization", "Basic " + encodedAuth));

// 4. 发起调用（传入 headers 列表）
androidHttpTransport.call(SOAP_ACTION, envelope, headers);

// 5. 解析响应
Object result = envelope.getResponse();
if (result instanceof SoapPrimitive) {
    String responseMsg = ((SoapPrimitive) result).toString();
    System.out.println("Response: " + responseMsg);
}</headerproperty>

⚠️ 重要注意事项：

禁用 WS-Security Header：注释或删除 envelope.headerOut = getHeaderElement(); 及其相关方法。残留的无效 Security Header 可能触发服务端额外校验失败。
Base64 编码选择：优先使用 org.kobjects.base64.Base64（ksoap2 内置），避免 android.util.Base64 在低版本 Android 上的兼容性问题；若使用后者，请确保 minSdkVersion >= 8 并添加 Base64.DEFAULT 标志。
URL 协议与证书：https:// 地址需确保服务器 SSL 证书有效；若测试环境使用自签名证书，需为 HttpTransportSE 配置信任所有证书（仅限调试，严禁上线）。
调试必开：androidHttpTransport.debug = true 后，可通过 androidHttpTransport.requestDump 和 androidHttpTransport.responseDump 打印原始 HTTP 请求/响应，精准定位认证是否生效（检查请求头是否含 Authorization，响应状态码是否为 200 OK 而非 401）。
服务端确认：最终应与服务端文档或管理员确认认证方式——若明确要求 WS-Security，则需修正 getHeaderElement() 中的命名空间、元素结构（如）、密码类型（PasswordText vs PasswordDigest）及时间戳等，但本例错误模式强烈指向传输层认证。