SOAP消息签名后出现Hash values do not match问题求助

以下是针对该问题的具体排查步骤，按优先级排序：

• 抓包对比传输前后的XML字节流
  不要只看文本内容，用抓包工具获取实际发送到服务器的XML字节，和本地生成的签名前XML做二进制对比。重点排查：

  • 是否存在编码转换（比如本地UTF-8无BOM，发送后变成带BOM）
  • 换行符是否被自动替换（CRLF→LF或反之）
  • HTTP头是否正确设置Content-Type: text/xml; charset=utf-8，避免服务器用错误编码解析

• 验证规范化（Canonicalization）的实际输出
  不要仅确认配置，手动执行一次签名节点的规范化操作，导出字节流：

  1. 提取XML中要签名的目标节点（比如SOAP Body或指定的Header元素）
  2. 用代码中配置的CanonicalizationMethod算法（如C14N、C14N-Exclusive）对节点做规范化处理
  3. 将处理后的字节流和签名时使用的原始字节流对比，确认完全一致
     同时检查签名范围是否正确，有没有漏签或多签节点

• 核对签名相关算法的一致性
  逐一确认以下内容和服务器要求（参考示例XML）完全一致：

  • <CanonicalizationMethod>的URI（比如http://www.w3.org/2001/10/xml-exc-c14n#）
  • <DigestMethod>的URI（比如http://www.w3.org/2001/04/xmlenc#sha256）
  • <SignatureMethod>的URI
    确保本地计算摘要和签名时使用的算法与配置的URI严格对应，避免算法不匹配

• 检查签名值和摘要值的编码
  确认<DigestValue>和<SignatureValue>的Base64编码没有多余格式：

  • 去掉Base64字符串中的换行、空格等分隔符
  • 对比生成的XML和参考示例中这两个字段的大小写、字符长度，确保完全一致

• 排查XML的隐式结构差异
  肉眼不可见的XML差异也会导致哈希不匹配：

  • 命名空间前缀是否一致（部分验证逻辑会严格检查前缀，而非仅命名空间URI）
  • 属性的顺序是否和参考示例一致（虽然C14N会统一属性顺序，但部分自定义验证逻辑可能不遵循规范）
  • 节点间是否存在不可见空白字符（比如制表符、连续空格），可以用XML格式化工具（如xmllint --format）统一格式后再对比

• 模拟服务器端验证流程
  用本地保存的发送XML，重新执行验证步骤：

  1. 提取要签名的节点，执行规范化
  2. 计算摘要，和XML中的<DigestValue>对比
  3. 用签名公钥验证<SignatureValue>
     如果这一步验证通过，说明问题出在服务器端的解析或配置；如果不通过，说明本地签名过程存在错误

内容的提问来源于stack exchange，提问作者Daan1986