无论是电子安全还是物理安全，维持控制在安全管理中都很关键。大型组织在选择部署XML、Web服务和面向服务的架构（SOA）后，随之而来的是需要在企业网络中控制信息的传送。

　　尽管上面这些技术都被仔细考虑过，但我们还是忽略了用户生成的XML。最近，Ajax是被关注的很多的面向用户的技术。突然之间，异步用户界面处理的能力变得非常明显，而这也带来了很大的XML通信量。它已经跨越了你的企业边界。你的每一个用户可能正在使用Google Maps, Gmail或者新的Yahoo mail客户端，或者正在使用即将推出的Microsoft Web Mail Browser (Kahuna)，它们已经用XML穿越了你的防火墙。用户生成的XML的另一个主要驱动是拥有XML文档格式和基于Web服务集成功能的Microsoft的Vista。

　　于是，安全控制成了一个难题。

　　随着成百上千的额外XML消息在网络上迅速蔓延，通信和延迟问题随之而来。很多XML通信从内网的有效源头中、从外网中、甚至直接从互联网中发出来。好的通信与不好的通信的差别对网络的完整性非常关键。

　　幸运地是，现在已经有解决XML和Web服务安全的基本问题的标准和解决方案了。但是，组合应用和工作流应用将会遇到麻烦，包括好的与不好的XML通信以及对Web服务的控制可信的访问。基于消息的攻击，包括延迟攻击、乱序消息攻击和欺骗消息注入等，在XML通信中更容易出现，并且会穿越你的网络防火墙并包围你的内网。

　　例如，Ajax引入了新的线程宿主和安全点，Web应用开发人员可能不认识。对Ajax的有效运用需要对XML进行有效处理以及对身份和访问权限的验证。安全功能包括签名、加密、身份验证(还不包括schema验证、内容检测和拒绝服务防护)等功能，开销非常大。它们让你通常的服务器平台下降得很快，从每秒300-400个交易降到每秒几十个交易。

　　消息级安全特性必须要使用。在我们新的松耦合的、业务服务可重用的环境中，通信能够得到类似SSL的简单的基于会话的解决方案的保护。降低XML相关压力的技术需要在网络中创建安全的，可信的处理。

　　这些处理变更可以帮助创建强大的策略控制、日志并增加进强的审计功能。为处理通信而实现分布式机制的能力对于把被入侵的网络转化成XML有效的网络非常关键。

　　Ajax出现后，每个应用开发环境和打包的应用都能产生XML和Web服务接口。它也被嵌入到Microsoft Office中。用户生成的XML将显著影响我们的IT和网络基础设施。XML处理负载和更重要的XML内容安全问题必须被解决。企业级XML网络必须能够路由、过滤、传送、监控、审计和保护私有的XML消息，而且不仅只限于URL，还包括身份和内容。

　　不管你准备好没有，我们在所有组织中都会充斥着XML。逐步确保XML的流入得到控制将帮助企业生存下去并且在新的网络环境中获得发展。