XML双签名场景下XmlDsigC14NTransform规范化失败问题

我之前也碰到过类似的问题，帮你梳理下原因和可行的解决办法：

问题复盘 #

你现在正在升级XML签名的加密方案到4096-bit RSA，同时要兼容旧版库用1024-bit RSA验证签名。你的流程是：

• 第一步：对文档做规范化，用4096-bit密钥签名后，把带http://www.w3.org/2000/09/xmldsig#命名空间的SignatureV2元素加到文档里
• 第二步：再次对文档做规范化，用1024-bit密钥签名后添加Signature元素

但第二步执行规范化时，XmlDsigC14NTransform.GetOutput()直接抛出System.ArgumentException，错误信息是：

'Item has already been added. Key in dictionary: '' Key being added: '''

而且你测试发现，只有删掉SignatureV2的命名空间属性才能正常执行，哪怕用自定义命名空间（比如"foo"）也会触发报错，这确实挺头疼的。

问题根源 #

这个异常本质是C14N规范化过程中，内部的命名空间处理字典试图重复插入空键。当文档里同时存在两个同命名空间的签名元素（Signature和SignatureV2）时，.NET默认的XmlDsigC14NTransform在处理命名空间映射的时候出现了逻辑冲突——它可能把空命名空间或者未正确解析的前缀当成了重复键，导致字典插入失败。

可行解决方案 #

方案1：隔离两次签名的规范化输入（优先推荐） #

在第二次做规范化之前，先复制一份原文档，把已经添加的SignatureV2元素删掉，用这个副本做规范化和签名，最后再把新生成的Signature元素加回原文档。这样就能避免两个签名元素在规范化过程中产生命名空间冲突。

示例代码：

// 假设xmlDoc是已经添加了SignatureV2的原始文档
XmlDocument docCopy = (XmlDocument)xmlDoc.Clone();

// 定位并移除副本里的SignatureV2元素
XmlNamespaceManager nsManager = new XmlNamespaceManager(docCopy.NameTable);
nsManager.AddNamespace("ds", "http://www.w3.org/2000/09/xmldsig#");
XmlNode signatureV2Node = docCopy.SelectSingleNode("//ds:SignatureV2", nsManager);

if (signatureV2Node != null)
{
    signatureV2Node.ParentNode.RemoveChild(signatureV2Node);
}

// 对副本执行规范化操作
XmlDsigC14NTransform transform = new XmlDsigC14NTransform(false);
transform.Resolver = resolver;
transform.LoadInput(docCopy);

using (MemoryStream mem = (MemoryStream)transform.GetOutput())
{
    string normalizedContent = this.CharacterEncoder.GetString(mem.ToArray());
    // 这里用1024-bit密钥对normalizedContent签名，生成Signature元素后添加到原xmlDoc中
}

方案2：自定义C14N变换处理命名空间冲突（进阶） #

如果因为业务原因不能移除SignatureV2元素，可以自定义一个继承自XmlDsigC14NTransform的类，重写内部的命名空间处理逻辑，避免空键重复插入。不过这个方法需要深入了解C14N的底层实现，复杂度比较高，所以优先推荐方案1。

额外提示 #

C14N规范化的核心是生成唯一的XML标准格式，消除格式差异。.NET的默认实现在处理多个同命名空间的签名元素时，可能在命名空间前缀映射、空命名空间处理上存在逻辑漏洞，导致字典冲突。通过隔离两次签名的规范化输入，就能从根源上避开这个问题。

内容的提问来源于stack exchange，提问作者dheinz