使用RobRichards\XMLSecLibs生成XML签名无效的问题求助

针对你遇到的xmlseclibs 3.1.0对http://www.w3.org/2001/10/xml-exc-c14n#处理不当、签名无法通过MitID OCES3验证的问题，结合Java实现可正常验证的前提，提供以下几种可行修复方案：

方案一：手动修复xmlseclibs的ExcC14N处理逻辑 #

由于官方库停止维护，可针对性修改其独占规范化（ExcC14N）的代码：

• 定位xmlseclibs中处理ExcC14N的核心文件（通常是src/XMLSecurityDSig.php或src/C14N/Exclusive.php）
• 检查命名空间过滤逻辑：ExcC14N要求仅保留签名元素声明的命名空间、被签名节点引用的命名空间，xmlseclibs可能存在未过滤冗余命名空间或前缀映射错误的问题
• 将xmlseclibs生成的规范化XML与Java实现生成的版本逐行对比，定位差异点（如多余的命名空间声明、前缀不一致、节点顺序差异），针对性调整代码

方案二：替换为活跃维护的PHP XML签名库（phpseclib） #

使用phpseclib替代xmlseclibs，该库持续维护且严格遵循XML-DSig规范：

1. 安装依赖：

composer require phpseclib/phpseclib:~3.0

2. 实现符合MitID OCES3要求的签名代码：

use phpseclib3\File\X509;
use phpseclib3\Crypt\RSA;
use phpseclib3\XML\DSig;

// 加载OCES3私钥与证书（确保PEM格式正确）
$privateKey = RSA::load(file_get_contents('oces3_private_key.pem'));
$cert = X509::load(file_get_contents('oces3_cert.pem'));

// 初始化签名实例，指定ExcC14N规范化方法与签名算法
$dsig = new DSig();
$dsig->setCanonicalizationMethod(DSig::C14N_EXCLUSIVE);
$dsig->setSignatureMethod(DSig::SHA256_WITH_RSA); // 匹配MitID要求的算法

// 加载待签名XML并添加引用
$targetXml = file_get_contents('your_input.xml');
$dsig->addReference($targetXml);

// 执行签名并附加证书
$dsig->sign($privateKey);
$dsig->addCertificate($cert);

// 输出签名后的XML
echo $dsig->saveXML();

方案三：手动结合规范化工具与OpenSSL签名 #

若上述方案无法快速落地，可拆分步骤手动实现：

• 使用Java工具或xmlsec1命令行工具生成符合ExcC14N规范的XML字节流（确保与Java实现的规范化结果完全一致）
• 用OpenSSL对规范化后的字节流签名：

openssl dgst -sha256 -sign oces3_private_key.pem -out signature.bin canonicalized.xml

• 将签名值（Base64编码）、证书嵌入到XML的<Signature>节点中，严格遵循XML-DSig结构（参考Java生成的签名XML节点格式）

关键注意事项 #

• 确保所有签名参数与Java实现完全一致：包括规范化方法（需明确指定无注释的ExcC14N）、签名算法、证书链顺序
• MitID OCES3可能要求特定的签名结构（如包含<KeyInfo>节点、特定的命名空间前缀），需与服务方提供的示例XML对齐

内容的提问来源于stack exchange，提问作者Karsten Thoft Fisker