.NET C#验证乌拉圭DGI XML签名始终返回false求助

1. 证书加载方式错误 #

代码中使用Encoding.UTF8.GetBytes(certificateBase64)转换Base64证书字符串是错误的。Base64编码的证书内容应直接用Convert.FromBase64String解析，UTF8编码可能引入无效字节（如不可见控制字符），导致证书加载异常。

修正代码：

string certificateBase64 = certificateNode.InnerText.Trim(); // 去除首尾空白与换行符
byte[] certificateData = Convert.FromBase64String(certificateBase64);
X509Certificate2 dcert2 = new X509Certificate2(certificateData);

2. 重复使用同一个SignedXml实例 #

你在循环外创建单个SignedXml对象，重复加载不同<Signature>元素会导致内部状态冲突。SignedXml是有状态对象，每次验证不同签名都需新建实例。

修正方式：

foreach (XmlElement element in nodeList)
{                   
    SignedXml signedXml = new SignedXml(xmlDoc); // 每次循环新建实例
    signedXml.LoadXml(element);                   
    signedXml.SigningKey = dcert2.GetRSAPublicKey();
    
    bool passes = signedXml.CheckSignature(dcert2, true);
    passes = signedXml.CheckSignature(dcert2, false);
    passes = signedXml.CheckSignature();
}

3. XML空白处理的严格性 #

XML签名验证对空白字符（空格、换行、制表符）要求极高，签名时的空白格式必须与验证时完全一致：

• 不要修改原始XML文件的空白结构
• 检查签名的<CanonicalizationMethod>节点值，确认.NET的SignedXml支持对应的规范化规则（如http://www.w3.org/TR/2001/REC-xml-c14n-20010315）

4. 命名空间映射缺失 #

乌拉圭CFE XML使用自定义命名空间http://cfe.dgi.gub.uy，若签名引用了该命名空间下的元素，SignedXml需明确绑定命名空间才能正确解析引用：

signedXml.XmlNamespaceManager = nsmgr; // 复用已创建的命名空间管理器

5. 签名与证书算法匹配检查 #

从日志看当前使用SHA1哈希算法和RSAPKCS1签名方案，需确认：

• XML签名的<SignatureMethod>节点是否为http://www.w3.org/2000/09/xmldsig#rsa-sha1
• 证书的签名算法是否与签名方案一致（若使用SHA256等算法，需确保.NET版本支持）

额外验证步骤 #

• 提取XML中的签名值和待签名内容，手动计算哈希并与日志中的哈希值对比，定位是否为哈希计算环节出错
• 使用第三方XML签名验证工具（如xmllint）确认签名本身的有效性，排除证书或XML文件损坏的可能

内容的提问来源于stack exchange，提问作者Alexi Tomala