如何在Java/Android中使用DSC证书对XML请求做数字签名

推荐方案：使用标准Java XML数字签名API #

Java原生的javax.xml.crypto.dsig系列API是最可靠的选择，Android 8.0（API 26）及以上系统原生支持，低版本可通过引入Apache Santuario兼容库解决。相比第三方库，标准API无额外依赖，兼容性更稳定。

1. 准备密钥对 #

先生成或加载RSA密钥对（签名常用SHA256withRSA算法），Android上可以直接用KeyPairGenerator生成，或者从系统Keystore加载已存密钥（更安全）：

// 生成2048位RSA密钥对
KeyPairGenerator keyGen = KeyPairGenerator.getInstance("RSA");
keyGen.initialize(2048);
KeyPair keyPair = keyGen.generateKeyPair();
PrivateKey privateKey = keyPair.getPrivate();
PublicKey publicKey = keyPair.getPublic();

// 从Android Keystore加载私钥（推荐生产环境使用）
KeyStore keyStore = KeyStore.getInstance("AndroidKeyStore");
keyStore.load(null);
PrivateKey storedPrivateKey = (PrivateKey) keyStore.getKey("your_key_alias", null);

2. 核心签名代码实现 #

以下是完整的XML签名逻辑，包含文档加载、签名配置、执行签名和结果输出：

// 初始化XML签名工厂
XMLSignatureFactory factory = XMLSignatureFactory.getInstance("DOM");

// 配置签名引用（对整个XML文档签名，使用ENVELOPED嵌入签名）
Reference ref = factory.newReference(
    "", 
    factory.newDigestMethod(DigestMethod.SHA256, null),
    Collections.singletonList(factory.newTransform(Transform.ENVELOPED, (TransformParameterSpec) null)),
    null, 
    null
);

// 构建SignedInfo（规范方法+签名算法）
SignedInfo signedInfo = factory.newSignedInfo(
    factory.newCanonicalizationMethod(CanonicalizationMethod.INCLUSIVE_WITH_COMMENTS, null),
    factory.newSignatureMethod(SignatureMethod.RSA_SHA256, null),
    Collections.singletonList(ref)
);

// 构建密钥信息（将公钥嵌入签名，用于后续验签）
KeyInfoFactory keyInfoFactory = factory.getKeyInfoFactory();
KeyValue keyValue = keyInfoFactory.newKeyValue(publicKey);
KeyInfo keyInfo = keyInfoFactory.newKeyInfo(Collections.singletonList(keyValue));

// 加载原始XML文档（必须开启命名空间支持）
DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setNamespaceAware(true);
Document doc = dbf.newDocumentBuilder().parse(new ByteArrayInputStream(originalXml.getBytes(StandardCharsets.UTF_8)));

// 初始化签名上下文，指定私钥和签名插入位置（XML根节点）
DOMSignContext signContext = new DOMSignContext(privateKey, doc.getDocumentElement());

// 创建并执行签名
XMLSignature signature = factory.newXMLSignature(signedInfo, keyInfo);
signature.sign(signContext);

// 将签名后的XML转换为字符串
TransformerFactory tf = TransformerFactory.newInstance();
Transformer transformer = tf.newTransformer();
StringWriter writer = new StringWriter();
transformer.transform(new DOMSource(doc), new StreamResult(writer));
String signedXml = writer.toString();

3. Android适配细节 #

• 低版本兼容（API <26）：引入Apache Santuario库，替换签名工厂初始化逻辑：

  implementation 'org.apache.santuario:xmlsec:2.4.0'
  

  XMLSignatureFactory factory = XMLSignatureFactory.getInstance("DOM", new ApacheXMLSignatureFactory());
  

• 权限处理：如果需要从本地文件读取/写入XML，需根据Android版本申请对应存储权限（Android 13+使用READ_MEDIA_IMAGES/READ_MEDIA_VIDEO等，低版本用READ_EXTERNAL_STORAGE）
• 避免明文密钥：永远不要将私钥以明文形式存储，优先使用Android Keystore管理密钥，防止泄露

常见问题排查 #

• 签名失败？先查命名空间：原始XML必须正确处理命名空间，确保DocumentBuilderFactory开启setNamespaceAware(true)，否则签名逻辑会因为节点解析错误失败
• Chilkat失败原因：大概率是密钥加载错误或XML命名空间配置问题，切换到标准API可以避免第三方库的兼容性坑
• 算法不支持：部分旧设备可能缺失SHA256withRSA支持，可临时降级为SHA1withRSA（不推荐，安全性低），或通过Signature.getAlgorithm("SHA256withRSA")提前验证设备支持性

内容的提问来源于stack exchange，提问作者Shiv Shrivas