本文详解 Android 平台使用 ksoap2 调用带身份验证的 SOAP WebService 时常见的 START_TAG 解析错误，指出根本原因是服务端要求 HTTP Basic 认证而非 WS-Security 消息级认证，并提供可直接运行的 transport-level 认证代码及关键注意事项。
本文详解 android 平台使用 ksoap2 调用带身份验证的 soap webservice 时常见的 `start_tag ` 解析错误，指出根本原因是服务端要求 http basic 认证而非 ws-security 消息级认证，并提供可直接运行的 transport-level 认证代码及关键注意事项。
在 Android 开发中，通过 ksoap2 库调用 SOAP WebService 是常见需求，但当服务端启用身份验证时，极易因认证方式不匹配导致请求失败。你遇到的典型错误：
expected: START_TAG {http://schemas.xmlsoap.org/soap/envelope/}Envelope (position:START_TAG <html>@2:44 in java.io.InputStreamReader@54570a0)本质并非 SOAP 协议解析异常，而是服务端在未通过认证时返回了 HTTP 401 Unauthorized 响应页（HTML 格式），而 ksoap2 试图将其当作 SOAP Envelope 解析，自然抛出 START_TAG 的致命错误。
该问题的核心在于：消息级认证（WS-Security Header）与传输级认证（HTTP Authorization Header）不可混用，且必须与服务端实际要求严格一致。从错误响应反推，你的服务端（如 ASP.NET ASMX 或 IIS 托管服务）极大概率启用了基于 HTTP Basic 的传输层认证，而非 WS-Security 用户名令牌（UsernameToken）。
✅ 正确解决方案是移除自定义 WS-Security Header（envelope.headerOut），改用 HttpTransportSE.call() 的重载方法，在 HTTP 层注入 Authorization: Basic xxx 头：
// 1. 构建 SOAP 请求体（保持不变）
SoapObject request = new SoapObject(NAMESPACE, METHOD_NAME);
PropertyInfo deviceIdPI = new PropertyInfo();
deviceIdPI.setName("device_id");
deviceIdPI.setValue(deviceId);
deviceIdPI.setType(String.class);
request.addProperty(deviceIdPI);
// 2. 创建信封（注意：不再设置 headerOut）
SoapSerializationEnvelope envelope = new SoapSerializationEnvelope(SoapEnvelope.VER11);
envelope.dotNet = false;
envelope.setOutputSoapObject(request);
// 3. 配置 HTTP 传输层认证头
HttpTransportSE androidHttpTransport = new HttpTransportSE(URL);
androidHttpTransport.debug = true; // 启用调试，便于查看实际请求/响应
// ✅ 关键：构造 Basic Auth Header
List<HeaderProperty> headers = new ArrayList<>();
String auth = USER_NAME + ":" + PASSWORD;
// 使用 ksoap2 自带 Base64（推荐，避免依赖 Android API 版本）
String encodedAuth = org.kobjects.base64.Base64.encode(auth.getBytes());
headers.add(new HeaderProperty("Authorization", "Basic " + encodedAuth));
// 4. 发起调用（传入 headers 列表）
androidHttpTransport.call(SOAP_ACTION, envelope, headers);
// 5. 解析响应
Object result = envelope.getResponse();
if (result instanceof SoapPrimitive) {
String responseMsg = ((SoapPrimitive) result).toString();
System.out.println("Response: " + responseMsg);
}⚠️ 重要注意事项：
- 禁用 WS-Security Header：注释或删除 envelope.headerOut = getHeaderElement(); 及其相关方法。残留的无效 Security Header 可能触发服务端额外校验失败。
- Base64 编码选择：优先使用 org.kobjects.base64.Base64（ksoap2 内置），避免 android.util.Base64 在低版本 Android 上的兼容性问题；若使用后者，请确保 minSdkVersion >= 8 并添加 Base64.DEFAULT 标志。
- URL 协议与证书：https:// 地址需确保服务器 SSL 证书有效；若测试环境使用自签名证书，需为 HttpTransportSE 配置信任所有证书（仅限调试，严禁上线）。
- 调试必开：androidHttpTransport.debug = true 后，可通过 androidHttpTransport.requestDump 和 androidHttpTransport.responseDump 打印原始 HTTP 请求/响应，精准定位认证是否生效（检查请求头是否含 Authorization，响应状态码是否为 200 OK 而非 401）。
-
服务端确认：最终应与服务端文档或管理员确认认证方式——若明确要求 WS-Security，则需修正 getHeaderElement() 中的命名空间、元素结构（如
）、密码类型（PasswordText vs PasswordDigest）及时间戳等，但本例错误模式强烈指向传输层认证。
总结：SOAP 调用失败时，先观察错误中的 START_TAG 提示，它直指 HTTP 层响应异常。与其在 SOAP 消息中“硬编码”复杂安全头，不如回归 HTTP 本质，用标准 Authorization 头完成认证——简洁、可靠、兼容性强。
