XML数字签名异常：本地运行正常，预生产环境签名失败

问题描述 #

使用xmlsec1命令对XML文件进行数字签名时，脚本在本地环境运行正常，但预生产环境失败。相关信息如下：

执行命令 #

xmlsec1 --sign --output temp/24069-138_signed.xml --id-attr:id Body --privkey-pem /usr/share/nginx/html/libs/routeone/ALMprivatecert.crt,/usr/share/nginx/html/libs/routeone/ALMpubliccert.crt temp/24069-138.xml

环境详情 #

• xmlsec1版本：1.2.29 (openssl)
• 本地与预生产环境xmlsec1版本一致

错误详情 #

[   
    func=xmlSecTransformNodeRead:file=transforms.c:line=1314:obj=unknown:subj=xmlSecTransformIdListFindByHref:error=1:xmlsec library function failed:href=http://www.w3.org/2000/09/xmldsig#rsa-sha1
    func=xmlSecTransformCtxNodeRead:file=transforms.c:line=595:obj=SignatureMethod:subj=xmlSecTransformNodeRead:error=1:xmlsec library function failed:
    func=xmlSecDSigCtxProcessSignedInfoNode:file=xmldsig.c:line=661:obj=SignatureMethod:subj=xmlSecTransformCtxNodeRead:error=1:xmlsec library function failed:
    func=xmlSecDSigCtxProcessSignatureNode:file=xmldsig.c:line=497:obj=unknown:subj=xmlSecDSigCtxProcessSignedInfoNode:error=1:xmlsec library function failed:
    func=xmlSecDSigCtxSign:file=xmldsig.c:line=291:obj=unknown:subj=xmlSecDSigCtxProcessSignatureNode:error=1:xmlsec library function failed:
    Error: signature failed
    Error: failed to sign file "temp/24069-138.xml"
]

待解答问题 #

1. 预生产环境签名失败可能的原因是什么？
2. 是否与OpenSSL版本或配置差异有关？
3. 有哪些故障排查或调试建议？

解答 #

1. 预生产环境签名失败的可能原因 #

• 算法支持缺失：错误提示找不到http://www.w3.org/2000/09/xmldsig#rsa-sha1算法，说明预生产环境的xmlsec1或其依赖的OpenSSL库未启用/支持RSA-SHA1算法。
• 证书/密钥问题：预生产环境中的私钥/公钥文件可能存在权限不足（比如执行命令的用户无读取权限）、文件损坏或格式不兼容的情况。
• 系统库依赖差异：虽然xmlsec1版本一致，但底层依赖的libxml2、libxslt等库版本或配置不同，导致算法加载失败。
• XML模板差异：预生产环境使用的XML文件签名模板（如Signature节点的算法配置）可能与本地不一致，要求了未支持的算法。

2. 与OpenSSL版本或配置的关联性 #

是的，大概率和OpenSSL有关：

• 版本差异：即使xmlsec1版本相同，若本地和预生产的OpenSSL版本不同，高版本OpenSSL默认禁用SHA1等弱算法，会导致xmlsec1无法找到RSA-SHA1算法实现。
• 配置限制：预生产环境的OpenSSL配置文件（如/etc/ssl/openssl.cnf）可能通过disabled_algorithms等配置项禁用了SHA1算法，导致xmlsec1调用失败。
• 编译选项差异：预生产环境的xmlsec1编译时可能未关联正确的OpenSSL算法模块，缺失RSA-SHA1的编译支持。

3. 故障排查与调试建议 #

• 检查算法支持：在预生产环境执行openssl list -digest-algorithms和openssl list -public-key-algorithms，确认SHA1和RSA算法存在；执行xmlsec1 list-transforms查看xmlsec1支持的签名算法，确认rsa-sha1在列表中。
• 验证证书文件：检查私钥/公钥文件的权限（确保执行用户有读权限），用openssl rsa -in ALMprivatecert.crt -check验证私钥有效性，用openssl x509 -in ALMpubliccert.crt -text -noout验证公钥证书。
• 对比OpenSSL配置：对比本地和预生产的openssl.cnf文件，重点查看disabled_algorithms配置项，若预生产禁用了SHA1，可临时注释该配置测试。
• 启用调试日志：执行签名命令时添加--verbose 3参数，获取更详细的调试信息，定位算法加载失败的具体环节。
• 检查路径与权限：确认temp/目录存在且有写入权限，XML源文件路径正确且可读。
• 简化测试：用极简XML文件和测试证书在预生产环境执行签名，排除复杂XML结构的影响。

内容的提问来源于stack exchange，提问作者Othmane Amal