Python中使用公钥验证解码后SAML响应签名失败求助

我在Python中尝试用对应公钥验证解码后的SAML响应签名，尽管已经实现了验证流程，但持续收到Signature verification failed错误。

代码片段 #

import base64
import xmlsec
from lxml import etree

# SAML响应解码与XML解析函数
def decode_response(encoded_response):
    return base64.b64decode(encoded_response)

def parse_xml(xml_string):
    return etree.fromstring(xml_string.encode('utf-8'))

# SAML签名验证函数
def verify_saml_signature(xml_doc, cert_file):
    ns = {
        'samlp': 'urn:oasis:names:tc:SAML:2.0:protocol',
        'saml': 'urn:oasis:names:tc:SAML:2.0:assertion',
        'ds': 'http://www.w3.org/2000/09/xmldsig#',
        'xenc': 'http://www.w3.org/2001/04/xmlenc#'
    }
    
    signature_node = xml_doc.xpath('//ds:Signature', namespaces=ns)[0]
    
    ctx = xmlsec.SignatureContext()
    
    with open(cert_file, 'rb') as f:
        key = xmlsec.Key.from_memory(f.read(), xmlsec.KeyFormat.CERT_PEM, None)
    
    ctx.key = key
    
    try:
        ctx.verify(signature_node)
        return True, "Signature is valid."
    except xmlsec.Error as e:
        return False, f"Signature verification failed: {str(e)}"

# 配置文件与测试数据
cert_file = 'dev_okta.cert'

decoded_saml_response = '''
<Your sample SAML response goes here>
'''

xml_doc = parse_xml(decoded_saml_response)

signature_verified, verification_result = verify_saml_signature(xml_doc, cert_file)
print(verification_result)

错误信息 #

Signature verification failed: (1, 'failed to verify')

希望有人能测试上述代码（请替换<Your sample SAML response goes here>为实际SAML响应样本）并确认是否能得到有效结果，同时提供使用公钥验证断言的替代方法建议。

常见排查点 #

• 确认证书文件dev_okta.cert是对应IDP的有效公钥证书，格式为PEM，无多余空白或格式错误
• 检查SAML响应在解码/解析过程中是否被篡改，比如base64解码后是否为正确的UTF-8格式XML
• 确认签名节点的XPath路径是否正确：部分SAML响应的签名嵌套在saml:Assertion内部，可尝试调整XPath为//saml:Assertion/ds:Signature
• 验证xmlsec库及依赖的底层库（如libxmlsec1）版本是否兼容

替代验证方法 #

方法1：使用pysaml2库 #

pysaml2是专门的SAML处理库，封装了完整的签名验证逻辑：

from saml2 import response
from saml2.sigver import verify_signature
from saml2.config import Config

# 加载IDP元数据（可从IDP官方获取元数据文件）
conf = Config()
conf.load({
    "metadata": {
        "local": ["idp_metadata.xml"],
    }
})

# 解析并验证SAML响应
saml_resp = response.Response(conf, identity=None)
saml_resp.load(decoded_saml_response)
valid = verify_signature(saml_resp.xmlstr, conf)
print("Signature valid:", valid)

方法2：底层手动验证（基于cryptography） #

若需要更精细的控制，可结合cryptography手动实现验证：

1. 从XML中提取ds:SignedInfo、ds:SignatureValue节点内容
2. 对ds:SignedInfo执行XML规范化（Canonicalization）处理
3. 使用公钥和对应签名算法（如RSA-SHA256）验证签名值的有效性

内容的提问来源于stack exchange，提问作者Sajna Sheeja