要分析Xml Web Service的安全性，首先要解决的问题是我们能了解和清楚Soap消息的格式和内容，如果获得不了SoapMessage，分析如何能构建安全Xml web service也就无从下手，即使分析出来，自己也可能模模糊糊，不能定论。下面就分析下如何获得SoapMessage。

　　首先介绍一个类-SoapExtension，msdn对这个类的备注为：ASP.NET 允许通过扩展性机制生成与 SOAP 相关的基础结构。ASP.NET SOAP 扩展结构以一种扩展为中心，该扩展可以在客户端或服务器上处理消息时在特定阶段中检查或修改消息。ASP.NET SOAP 扩展从 SoapExtension 类派生。GetInitializer 和 Initialize 方法提供其他可用机制，用于初始化 SOAP 扩展以增强性能。ProcessMessage 是大多数 SOAP 扩展的核心，原因是该方法在 SoapMessageStage 中定义的每一个阶段都被调用，从而使 SOAP 扩展得以执行所需的该特定 SOAP 扩展的行为。对于需要修改 SOAP 请求或 SOAP 响应的 SOAP 扩展，ChainStream 提供一个机会以接收要通过网络发送的建议数据。 仔细阅读这段文字，如果您以前开发过windows程序，那第一个应该想到的是：原来web service的处理机制和windows窗口程序的消息机制竟然有着一曲同工之妙。下面谈谈如何利用这个类，来截获Xml web Service请求和相应的Soap消息，从而看看xml web service的庐山真面目。

　　首先大家先看看这个类，这个类完成的功能是将Xml Web Service通过扩展的方式，将每次的请求和响应的Soap消息通过日志的方式保存到文本文件中。日志记录的方式也有两种：

　　1。针对每个WebMethod产生一个日志文件。

　　2。针对每个WebService产生一个日志文件

　　因为一个WebService可能包含一个或者多个WebMethod，所以如果指定两种方法都支持的话，那第二个日志两面应该包括第一个日志里面的内容，而有些情况下，是不需要对每个WebMethod都进行日志记录的，这时候采用第一种记录方式，增强了系统的灵活性