xml - XML-sig 上的权威来源

Question

我们有一个关于 XML-sig 的问题，需要有关可选元素以及一些规范化和转换内容的详细信息。我们正在为一个非常小的 XML 语法负载编写规范，它将进入媒体文件的元数据，并且需要通过加密签名。我们认为我们应该使用 XML-sig 规范，而不是重新发明轮子，但我认为其中的大部分对于我们需要的东西来说都是过大的，因此我们希望与了解细节的人有更多的信息/对话。

具体来说，如果 XML 非常基本，没有用于格式化的选项卡并且特定于我们的需求，我们是否需要关心转换或规范化？

Answer 1

如果存在不 进行 XML 签名的选项，而只是将 XML 视为字节流并对其进行签名，则进行签名。它将更容易实现、更容易理解、更稳定(没有规范化、转换、政策……)和更快。

如果您绝对必须拥有 XML DSIG(遗憾的是，我们中的一些人必须拥有)，现在这当然是可能的，但有很多很多警告。您需要良好的库支持，对于 Java，这是 JDK 1.6 中开箱即用的，我不熟悉其他平台。您必须测试与签名 XML 接收端的互操作性，尤其是当它们可能位于不同平台上时。

请务必阅读 Why XML Security Is Broken ，它基本上涵盖了有关 XML 规范化的可怕之处的所有方面，并给出了一些替代方案的指示。