SignXML验证器在XML签名使用无ds:前缀的默认命名空间时验证失败

我完全懂你遇到的糟心事——用signxml生成不带ds:前缀的XML签名（把XML-DSig命名空间设为默认命名空间）时，签名环节一切正常，但到了验证步骤直接报错找不到DigestMethod这类核心元素。从你贴的报错栈来看，问题出在signxml的验证逻辑里：它默认会带着ds:前缀去查找签名相关元素，但你的签名元素现在挂在默认命名空间下，没有前缀，自然匹配失败了。

问题根源 #

看你贴出的_find方法代码片段，里面默认把命名空间固定成了ds，然后用namespace:query的格式去定位元素。但你的签名元素（比如<Reference>、<DigestMethod>）都属于默认命名空间（http://www.w3.org/2000/09/xmldsig#），没有ds:前缀，所以element.find("ds:DigestMethod")根本找不到对应的节点，直接抛出InvalidInput异常。

解决方案 #

要让验证器正确识别无前缀的默认命名空间签名，你需要在验证时明确告诉XMLVerifier：默认命名空间对应的就是XML-DSig的官方URI。具体来说，就是给verify方法传递namespaces参数，把默认命名空间标识（None）映射到ds的命名空间URI。

修改你的测试代码里的验证部分即可：

def test_signed_without_ns_success():
    xml_str = create_sample_xml()
    root = lxml.etree.fromstring(xml_str.encode("utf-8"))
    signer = signxml.XMLSigner(
        method=signxml.methods.enveloped,
        signature_algorithm="rsa-sha256",
        digest_algorithm="sha256",
        c14n_algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315",
    )
    signer.namespaces = {None: signxml.namespaces.ds}
    signed_root = signer.sign(
        root,
        key=private_key,
        exclude_c14n_transform_element=True,
    )
    signed_xml_str = lxml.etree.tostring(signed_root, encoding="utf-8")
    
    # 重点修改：验证时传递namespaces参数
    root = lxml.etree.fromstring(signed_xml_str)
    result = signxml.XMLVerifier().verify(
        root, 
        x509_cert=cert,
        namespaces={None: signxml.namespaces.ds}  # 关联默认命名空间与DSig URI
    )

为什么这样能解决问题？ #

当你把namespaces={None: signxml.namespaces.ds}传给verify方法后，signxml的查找逻辑就会把默认命名空间和DSig的URI绑定起来，此时它查找DigestMethod这类元素时，会去默认命名空间里匹配，而不是死磕ds:前缀的元素了。

另外提个小细节：确保你生成签名和验证时用的C14N（规范化）算法一致（你这里已经用了相同的http://www.w3.org/TR/2001/REC-xml-c14n-20010315，没问题），否则也可能导致验证失败。

内容来源于stack exchange