xml - 我怎样才能签署各种 XML 元素并签署他们的 parent ？

Question

在我尝试使用的 SOAP 网络服务中，有必要发送具有类似于以下结构的 XML:

<?xml version="1.0"?>
<TheData>
  <Father Id="zzz">
      <SomeInfo>1</SomeInfo>
      <List>
        <ElementOfList>
          <Child Id="foo">foo</Child>
          <Signature>
            ...
          </Signature>
        </ElementOfList>
        <ElementOfList>
          <Child Id="bar">bar</Child>
          <Signature>
            ...
          </Signature>
        </ElementOfList>
      </List>
  </Father>
  <Signature>
    ...
  </Signature>
</TheData>

其中<Signature>有内容:

<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
  <SignedInfo>
    <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315#WithComments"/>
    <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
    <Reference URI="#[the _Id_ attr of this Signature's sibling element]">
      <Transforms>
        <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
      </Transforms>
      <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
      <DigestValue>uCMzpgMnLCP9iESFQVgpmtQ5TRE=</DigestValue>
    </Reference>
  </SignedInfo>
  <SignatureValue>...</SignatureValue>
  <KeyInfo>
    <X509Data>
      <X509Certificate>...</X509Certificate>
    </X509Data>
  </KeyInfo>
</Signature>

我该怎么做？

我正在尝试 xmlsec1 --id-attr:Id Father --id-attr:Id Child , 传递给它带有 Signature 的文件字段空白，但它只填充其中的第一个。

我也试过单独给 child 签名，把它放在父亲模板里，他们试图给父亲签名，但是xmlsec1忽略第二个元素(并更改第一个签名的值——它不应该被封装在它的元素中吗？)。

---

可能无关，但谁知道呢？

我宁愿从 Python 代码内部执行此操作，但我尝试使用的三个库 python-xmlsec , pyxmlsec和 xmldsig都无法生成/重新识别 URI <Reference> 的属性.可能是因为他们缺少 --id-attr的 xmlsec1 ，但是我遇到的这些问题揭示了一个事实，即我并不真正理解这些 XML 签名的东西，因此，我做错了事，把事情搞砸了。请帮助我理解它。

---

编辑

我见过很多人在这些 XML 签名主题上遇到困难，但没有人试图在同一个 XML 文件中签署两个不同的元素。此案例未在 w3C Scenarios FAQ 中列出。 ，这让一切看起来都很奇怪，因为我的网络服务需要我多个签名。或者不？这是他们发布的架构:https://github.com/proge/PyNFSe/blob/master/pysped_nfse/nfse.xsd#L539 (查看此元素 <xsd:element name="EnviarLoteRpsEnvio"> 和子元素)。

Answer 1

我认为没有办法用第 3 方库来做到这一点，大多数应用程序只需要为所有 XML 内容签名，而不是为特定元素签名。

也许，这对你有帮助:

根据与“RecepcionarLoteRps”方法相关的 XSD

<s:element name="RecepcionarLoteRps">
    <s:complexType>
        <s:sequence>
            <s:element minOccurs="0" maxOccurs="1" name="EnviarLoteRpsEnvio" type="tns:EnviarLoteRpsEnvio"/>
        </s:sequence>
    </s:complexType>
</s:element>
<s:complexType name="EnviarLoteRpsEnvio">
    <s:sequence>
        <s:element minOccurs="0" maxOccurs="1" name="LoteRps" type="tns:tcLoteRps"/>
        <s:element minOccurs="0" maxOccurs="1" name="Signature" type="s1:SignatureType"/>
    </s:sequence>
</s:complexType>
<s:complexType name="tcLoteRps">
    <s:sequence>
        <s:element minOccurs="1" maxOccurs="1" name="NumeroLote" type="s:unsignedLong"/>
        <s:element minOccurs="0" maxOccurs="1" name="Cnpj" type="s:string"/>
        <s:element minOccurs="0" maxOccurs="1" name="InscricaoMunicipal" type="s:string"/>
        <s:element minOccurs="1" maxOccurs="1" name="QuantidadeRps" type="s:int"/>
        <s:element minOccurs="0" maxOccurs="1" name="ListaRps" type="tns:ArrayOfRps"/>
    </s:sequence>
</s:complexType>
<s:complexType name="ArrayOfRps">
    <s:sequence>
        <s:element minOccurs="0" maxOccurs="unbounded" name="Rps" nillable="true" type="tns:Rps"/>
    </s:sequence>
</s:complexType>
<s:complexType name="Rps">
    <s:complexContent mixed="false">
        <s:extension base="tns:tcRps"/>
    </s:complexContent>
</s:complexType>
<s:complexType name="tcRps">
    <s:sequence>
        <s:element minOccurs="0" maxOccurs="1" name="InfRps" type="tns:tcInfRps"/>
        <s:element minOccurs="0" maxOccurs="1" name="Signature" type="s1:SignatureType"/>
    </s:sequence>
</s:complexType>

您需要在“LoteRps”中的“ListaRps”上对每个“Rps”进行签名，最后在“LoteRps”元素上签名。

您可以在逐步生成 XML 时执行此操作，生成具有所有“Rps”的“ListaRps”元素，然后获取所有“InfRps”元素并签署所有这些元素，或者您可以在之后立即签署“InfRps”创建并添加到“ListaRps”，最后你应该签署“LoteRps”。

也许您也可以这样做，生成完整的 XML 并在解析它之后获取元素并使用适当的顺序对其进行逐个签名。

无论如何，您都必须编写代码才能根据需要对 XML 进行签名。

看看assembla nfseWsClient , 是用 Java 和 JAX-WS 开发的，但这是一个很好的起点。

这两个类会让你感兴趣

• RecepcionarLoteRpsBusiness
• ProcessSign