xml - 什么是 xml 签名中的规范化？

Question

什么是 xml 签名中使用的规范化标记。它存在于 <signed info> 中元素。我已经通过网络浏览了各种文档。但是所有这些都太抽象了，我无法理解。如果有人能解释一下规范化标签中应该包含什么以及应该如何使用它会很有帮助吗？
我对<signature value>也有疑问。元素。它包含什么签名？

Answer 1

通常使用签名(除了可追溯性原因)作为对收件人的证明，即消息在传输过程中没有被更改(例如被中间人更改)。

->关键词:诚信:

问题:

XML 提供了几种构建相同(输入)数据的有效方法，例如:

1. <a>1</a><!--comment--> <b></b>
2. <a>1</a><b/>

这使得无法创建可确定的签名哈希，而这是有效签名验证所必需的。例如，对上述两个 XML 示例的 MD5 散列将导致完全不同的结果散列，尽管这两个示例以 XML 形式提供相同的有效数据(它们在语义上是相同的)。

解决方案:这是 XML 规范化 (c14n) 出现的地方:消息由发送方(客户端)格式化(规范化)，并在接收方(服务器)接收后进行格式化(规范化)，因此相同数据的哈希值不会改变(在 XML 级别)。

我猜你只是对这些东西感到好奇，因为通常你不应该关心这个，因为库(XMLDSig-libs、WS-Security-libs，..)正在幕后处理这个问题。

关于第二个问题:SignatureValue 元素包含 SignedInfo 元素的 Base64 编码签名结果。