在.NET Core 7.0中使用HSM与PKCS11令牌实现XML-DSig签署

方案一：自定义扩展SignedXml类 #

SignedXml本身支持扩展，你可以通过继承该类，重写签名逻辑，直接调用HSM的签名接口生成签名值，再注入到SignedXml的签名结构中。

示例代码框架：

public class HsmSignedXml : SignedXml
{
    private readonly IHsmSigner _hsmSigner; // 封装HSM操作的自定义接口

    public HsmSignedXml(XmlDocument document, IHsmSigner hsmSigner) : base(document)
    {
        _hsmSigner = hsmSigner;
    }

    public override XmlElement GetXml()
    {
        // 计算待签名的规范化字节数据
        byte[] dataToSign = this.SignedInfo.GetXml().OuterXml.EncodeToBytes();
        // 调用HSM执行签名（这里需根据HSM SDK调整算法参数）
        byte[] signatureBytes = _hsmSigner.Sign(dataToSign, HashAlgorithmName.SHA256);
        // 将HSM生成的签名值注入到SignedXml结构
        this.Signature.SignatureValue = Convert.ToBase64String(signatureBytes);
        return base.GetXml();
    }
}

其中IHsmSigner是你基于HSM厂商SDK（如PKCS#11或专属SDK）封装的签名接口，负责和HSM交互完成私钥签名操作。

方案二：使用BouncyCastle库实现XML签名 #

BouncyCastle提供了更灵活的XML签名实现，支持自定义签名器对接HSM。你可以实现BouncyCastle的ISigner接口，内部调用HSM完成签名，再结合其SignedXml类完成XML签名流程。

示例代码框架：

// 初始化BouncyCastle的XML签名对象
var xmlDoc = new XmlDocument();
xmlDoc.LoadXml(xmlContent);
var bcSignedXml = new Org.BouncyCastle.Xml.Signature.SignedXml(xmlDoc);

// 配置签名算法和待签名节点
bcSignedXml.SignedInfo.SignatureMethod = XmlSignatureAlgorithms.RsaSha256;
bcSignedXml.AddReference(new Reference("#objectId"));

// 使用自定义HSM签名器完成签名
var hsmSigner = new HsmBcSigner(_hsmClient); // 实现ISigner接口的HSM签名器
bcSignedXml.ComputeSignature(hsmSigner);

// 将签名结果插入原XML文档
var signatureElement = bcSignedXml.GetXml();
xmlDoc.DocumentElement.AppendChild(signatureElement);

方案三：手动构造XML-DSIG签名结构 #

如果不想依赖类库，可以直接按照XML-DSIG规范手动构建签名节点：

1. 对目标XML节点执行规范化处理，计算摘要值（DigestValue）
2. 构造SignedInfo元素，包含签名算法、摘要算法、参考节点等信息
3. 对SignedInfo的规范化字节流调用HSM生成签名值（SignatureValue）
4. 组合SignedInfo、SignatureValue、KeyInfo（含公钥证书）等元素，生成完整的<Signature>节点并插入原XML

这种方式需要熟悉XML-DSIG的细节，但完全可控，适合定制化场景。

注意事项 #

• 确保HSM SDK支持当前.NET版本（.NET Framework/.NET Core/.NET 5+）
• 签名前必须严格按照XML-DSIG规范执行节点规范化（Canonicalization），否则验证会失败
• 生成签名后，需用对应公钥证书验证签名有效性，确保流程正确

内容的提问来源于stack exchange，提问作者user1514222