SAML断言验证：换行与空格是否会影响验证结果？

我正在开发一款IDP服务器，负责解析SP发送的SAML Request，生成SAML Response并返回给SP。目前Response功能已开发完成，但始终收到SP的验证错误："Response没有任何能通过主体验证的有效断言"。SP未提供详细失败日志，但使用OneLogin响应验证工具检测时，显示**"THE SAML RESPONSE IS VALID."**。

由于SSOCircle已与目标SP完成对接，我只能通过模仿其Response格式来测试SSO能否成功。目前我的断言数据与SSOCircle的唯一差异在于SignatureValue和X509Certificate标签与数据之间的空格及换行，想确认这是否会影响断言验证。

我的断言格式： #

<ds:SignatureValue>
                blablablablablablabla</ds:SignatureValue>
            <ds:KeyInfo>
                <ds:X509Data>
                    <ds:X509Certificate>blablabla
                        blablablablablablablabla
                        blablablablablablablabla
                        blablablablablablablabla</ds:X509Certificate>
                </ds:X509Data>
            </ds:KeyInfo>
        </ds:Signature>

SSOCircle的响应格式： #

<ds:SignatureValue>
                        blablablablablablablabla
                        blablablablablablablabla
                        blablablablablablablabla
            </ds:SignatureValue>
            <ds:KeyInfo>
                <ds:X509Data>
                    <ds:X509Certificate>
                        blablablablablablablabla
                        blablablablablablablabla
                        blablablablablablablabla
                        blablablablablablablabla
                        blablablablablablablabla
                    </ds:X509Certificate>
                </ds:X509Data>
            </ds:KeyInfo>
        </ds:Signature>

排查建议： #

• 空白字符会影响签名验证：XML签名是基于规范化后的节点内容计算的，不同的缩进、换行、空格会导致原始字节流不一致，直接引发签名验证失败。即使OneLogin工具能通过，部分SP可能未严格遵循XML规范处理空白，而是直接对比字节内容。
• 匹配XML规范化算法：确认你的IDP与SSOCircle使用相同的XML规范化（Canonicalization）算法，SAML默认采用http://www.w3.org/2001/10/xml-exc-c14n#，需保证配置一致。
• 完全对齐空白格式：严格模仿SSOCircle的空白布局，包括标签的缩进层级、数据的换行位置、标签与数据间的空格，消除格式差异。
• 检查编码规范：确保X509Certificate和SignatureValue的Base64编码符合标准，换行符使用统一格式（LF或CRLF），无多余空格或换行。
• 手动验证签名：用OpenSSL等工具提取签名、证书和断言内容，手动计算并对比签名值，排除内容本身的错误。

内容的提问来源于stack exchange，提问作者user23549780