java - 如何只签署 XML 的特定部分

Question

我正在尝试通过仅对 xml 的一部分进行签名来进行一些 XML 签名，但是经过大量搜索后我无法找到解决方案。

我正在使用 Java 使用 Xpath2 转换和 EXCLUSIVE 规范化对 XML 进行签名。如果我有以下 XML

<?xml version="1.0" encoding="UTF-8"?>
<msg xmlns="http://someaddress/ad/m1" xmlns:ns1="http://someotheraddres/ad/m2" xmlns:ns2="http://www.w3.org/2000/09/xmldsig#">
<header>
    <id>wsfrwerwerwer</id>
    <name>addr</name>
    <somenode>
        <trace>ND</trace>
    </somenode>
</header>
<payload><ns0:addr xmlns:ns0="http://someaddres/ad/m3"><ns2:data xmlns:ns2="http://someaddres/ad/m3">
            <ns2:name>somevalue</ns2:name>
            <ns2:value>354</ns2:value>
        </ns2:data>
    </ns0:addr>
</payload>
</msg>

然后签名，我得到以下输出(真实数据替换为虚拟数据)

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<msg xmlns="http://someaddress/ad/m1" xmlns:ns1="http://someotheraddres/ad/m2" xmlns:ns2="http://www.w3.org/2000/09/xmldsig#">
<header>
    <id>wsfrwerwerwer</id>
    <name>addr</name>
    <somenode>
        <trace>ND</trace>
    </somenode>
</header>
<payload>
    <ns0:addr xmlns:ns0="http://someaddres/ad/m3">
        <ns2:data xmlns:ns2="http://someaddres/ad/m3">
            <ns2:name>somevalue</ns2:name>
            <ns2:value>354</ns2:value>
        </ns2:data>
    </ns0:addr>
    <Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
        <SignedInfo>
            <CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
            <SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256"/>
            <Reference URI="">
                <Transforms>
                    <Transform Algorithm="http://www.w3.org/2002/06/xmldsig-filter2">
                        <XPath xmlns="http://www.w3.org/2002/06/xmldsig-filter2" xmlns:ns0="http://someaddres/ad/m3" Filter="intersect">//*[local-name()='addr']/*</XPath>
                    </Transform>
                </Transforms>
                <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"/>
                <DigestValue>sdlfjdeklsdfngf</DigestValue>
            </Reference>
        </SignedInfo>
        <SignatureValue>femhjgklnlkl</SignatureValue>
        <KeyInfo>
            <X509Data>
                <X509Certificate>swerwerwrwerwerwe</X509Certificate>
            </X509Data>
        </KeyInfo>
    </Signature>
</payload>
</msg>

如果我验证签名，一切都很好，但这里的问题是，在此之后我在 XML 中执行 XSLT，它对某些元素进行了一些更改，但没有对签名元素 ( ns0:addr ) 进行更改，它保持原样。尽管我明确表示应该只对“addr”元素进行签名，但如果我尝试对其任何父元素( payload 、 msg 或 addr )执行更改，则当(根据我的理解)它不应该。如果我对其他元素(例如 header 内的任何内容)进行更改，签名仍然有效。

我已经测试了 XPath 表达式 ( //*[local-name()='addr']/* )，它选择了要签名的正确数据 ( ns2:data )，但它似乎也从根元素 ( msg ) 开始获取通向它的所有元素， addr ).

我也尝试过使用不同的转换，例如 UNION，但这根本不起作用。

有人知道问题出在哪里吗？在为调试目的对 XML 进行签名时，在 Java 中有什么方法可以准确查看签名的内容吗？

编辑:

稍后运行的 xslt 将执行诸如将命名空间从 ns0:addr 元素移动到根元素 (msg) 之类的操作，还将主要元素名称和命名空间从 msg 更改为 newmsg(以及不同的默认命名空间)但保留签名数据 ( ns2:data) 不变。

用于签名的代码或多或少就是这里提到的代码http://docs.oracle.com/javase/7/docs/technotes/guides/security/xmldsig/XMLDigitalSignature.html

除了我使用的是 XPATH2 转换而不是 ENVELOPED 转换:

Map<String, String> namespaceMap = new HashMap<String, String>(0);
namespaceMap.put("ns0", "http://someaddres/ad/m3");
XPathType xPathType = new XPathType(xPathParameters, Filter.INTERSECT, namespaceMap);
List<XPathType> xPathList = new ArrayList<XPathType>(0);
xPathList.add(xPathType)
XPathFilter2ParameterSpec xPathFilter2ParameterSpec = new XPathFilter2ParameterSpec(xPathList);
transform = fac.newTransform(CanonicalizationMethod.XPATH2, xPathFilter2ParameterSpec);

而且我使用的不是 ENVELOPED，而是 EXCLUSIVE

canonicalisationMethod = fac.newCanonicalizationMethod(CanonicalizationMethod.EXCLUSIVE, (C14NMethodParameterSpec) null);

编辑2:

我已经设法启用对 xml 签名过程的更精细调试并得到以下信息:

FINER: Pre-digested input:
21-Sep-2012 10:51:39 org.jcp.xml.dsig.internal.DigesterOutputStream write
FINER: <ns2:data xmlns="http://someaddress/ad/m1" xmlns:ns0="http://someaddres/ad/m3" xmlns:ns1="http://someotheraddres/ad/m2" xmlns:ns2="http://someaddres/ad/m3"> <ns2:name>somevalue</ns2:name> <ns2:value>354</ns2:value> </ns2:data>

它似乎签署了正确的数据，但它还在签名中添加了一些额外的命名空间，这让我想知道这是否是问题所在，因为这些命名空间是从父元素中获取的。

有人知道如何让它不添加所有额外的命名空间吗？

Answer 1

在与 XML 签名进行了多次斗争之后，我终于找到了一个可以接受的解决方案(尽管并不理想)。

事实证明，独家规范化是不够的。您还需要在所有其他更改器(mutator)之后添加一个 Exclusive 变换。按照我上面写的代码片段:

List<Transform> transforms = new ArrayList<Transform>()
transforms.add(transform)
fac.newTransform(CanonicalizationMethod.EXCLUSIVE, (TransformParameterSpec) null)

这将使签名元素之外的任何其他命名空间都不会被考虑在内(尽管它具有允许在签名元素内插入命名空间的附加效果)。

此外，似乎将考虑到已签名元素的 xpath 中的任何元素，因此如果您有以下 xpath /root/A/B，它将对标签 B 进行签名，但您不会能够更改 A 或根元素的标签名称。

这可以通过使用包含较少元素的 xpath 来克服，例如 //B。

我相信也有可能克服这个问题，尽管到目前为止我还无法做到。