XML签名加密报错：Named certificate '' not found 问题排查

1. 「Named certificate '' not found」中的指定证书指什么？ #

这个错误说明服务端无法定位到用来解密你发送的EncryptedKey的对应私钥。服务端通常会维护多组证书密钥对，当你用服务端公钥加密对称密钥后，必须明确告知服务端用哪个证书对应的私钥来解密——这个“指定证书”就是服务端预配置的、与你加密所用公钥配对的证书标识，可能是证书别名、KeyName、证书DN（专有名称）或双方约定的自定义名称。

从报错响应的XML能看出：服务端期望你在EncryptedKey中提供<dsig:KeyName>值，或设置Recipient属性（响应里的Recipient="name:"为空），但你的请求payload里缺失这些信息，导致服务端无法找到对应私钥。

2. 如何将证书标识添加到加密payload中？ #

你需要修改XML加密部分的代码，给生成的EncryptedKey补充证书标识信息，具体有两种实现方式：

方式一：给EncryptedKey的KeyInfo添加KeyName #

在生成EncryptedKey后，创建KeyInfo并注入服务端要求的证书标识：

// 原加密代码中生成EncryptedKey的逻辑
EncryptedKey encryptedKey = keyCipher.encryptKey(xmlDoc, symmetricKey);

// 新增：为EncryptedKey添加KeyName
KeyInfo ekKeyInfo = new KeyInfo(xmlDoc);
// 替换为服务端指定的证书标识（如证书别名、约定名称）
KeyName keyName = new KeyName(xmlDoc, "server-cert-alias");
ekKeyInfo.add(keyName);
encryptedKey.setKeyInfo(ekKeyInfo);

// 后续原有代码保持不变

修改后，请求payload中的EncryptedKey会包含：

<xenc:EncryptedKey>
    <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5"/>
    <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:KeyName>server-cert-alias</ds:KeyName>
    </ds:KeyInfo>
    <xenc:CipherData>
        <xenc:CipherValue>I1ik...</xenc:CipherValue>
    </xenc:CipherData>
</xenc:EncryptedKey>

方式二：设置EncryptedKey的Recipient属性 #

如果服务端要求通过Recipient属性传递标识，直接设置该属性即可：

// 原加密代码中生成EncryptedKey的逻辑
EncryptedKey encryptedKey = keyCipher.encryptKey(xmlDoc, symmetricKey);

// 新增：设置Recipient属性，格式遵循服务端要求（如name:xxx）
encryptedKey.setRecipient("name:server-cert-alias");

// 后续原有代码保持不变

修改后，EncryptedKey会带有目标属性：

<xenc:EncryptedKey Recipient="name:server-cert-alias">
    <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5"/>
    <xenc:CipherData>
        <xenc:CipherValue>I1ik...</xenc:CipherValue>
    </xenc:CipherData>
</xenc:EncryptedKey>

注意事项 #

• 具体采用哪种方式，需参考服务端集成文档或直接咨询服务端开发人员，确认证书标识的格式与取值；
• 确保你加密时使用的公钥，与服务端对应标识的私钥是配对的，否则即使传递了标识也会解密失败。

内容的提问来源于stack exchange，提问作者Govind Singh