C#实现符合XMLDSig与XAdES-BES标准的XML签名验证失败问题

核心故障原因 #

你遇到的URI指向业务节点的引用校验失败，90%以上是以下几个问题导致的：

• ID属性识别失败：.NET原生SignedXml类默认仅识别Id、ID、xml:id三个属性作为节点唯一标识，如果你的业务节点（就是Id为CV3220624253095794000010100000002707385730942的节点）上的标识属性名不符合默认规则，签名时会找不到目标节点、或错选其他节点计算摘要，最终哈希值不匹配。
• 转换顺序/算法不匹配：参考你给出的标准签名样例，业务节点引用的转换顺序固定为「先执行enveloped-signature转换剔除签名节点本身，再执行C14N 1.0无注释规范化」，如果顺序写反、错用了带注释的C14N算法、或漏加转换，都会导致摘要计算结果偏差。
• XML空白/特殊字符处理错误：加载XML时如果没有开启保留空白配置，.NET会自动调整节点缩进、换行，甚至自动处理
这类实体字符，直接修改待签名内容的原始字节，导致摘要不匹配。
• 签名节点插入位置错误：封套签名要求Signature节点是被签名业务节点的后代节点，如果插错位置，enveloped转换无法正确剔除签名节点自身内容，会把签名标签本身也算入待哈希内容，直接导致校验失败。

可直接落地的修复步骤 #

1. 加载XML时强制开启空白保留，禁止自动格式化：

   XmlDocument xmlDoc = new XmlDocument();
   xmlDoc.PreserveWhitespace = true; // 必须开启，否则缩进换行变化会导致摘要错误
   xmlDoc.Load(yourXmlFilePath);
   

2. 自定义SignedXml逻辑解决ID识别问题，避免默认逻辑找不到目标节点：

   // 自定义SignedXml子类，重写ID查找逻辑
   public class CustomSignedXml : SignedXml
   {
       public CustomSignedXml(XmlDocument doc) : base(doc) { }
       public override XmlElement GetIdElement(XmlDocument doc, string id)
       {
           // 优先查找任意带Id属性匹配的节点，适配业务节点的ID规则
           XmlElement idElem = base.GetIdElement(doc, id);
           if (idElem == null)
           {
               idElem = doc.SelectSingleNode($"//*[@Id='{id}']") as XmlElement;
           }
           return idElem;
       }
   }
   

3. 严格按照样例顺序、算法配置业务引用，不要随意调整参数：

   CustomSignedXml signedXml = new CustomSignedXml(xmlDoc);
   // 配置签名方法、规范化方法，和样例完全一致
   signedXml.SignedInfo.CanonicalizationMethod = SignedXml.XmlDsigC14NTransformUrl;
   signedXml.SignedInfo.SignatureMethod = SignedXml.XmlDsigRSASHA256Url;
   
   // 添加业务数据引用
   Reference businessRef = new Reference("#CV3220624253095794000010100000002707385730942");
   businessRef.DigestMethod = SignedXml.XmlDsigSHA256Url;
   // 注意顺序：先加封套签名转换剔除自身，再加C14N规范化
   businessRef.AddTransform(new XmlDsigEnvelopedSignatureTransform());
   businessRef.AddTransform(new XmlDsigC14NTransform(false)); // false=不带注释，匹配样例算法
   signedXml.AddReference(businessRef);
   
   // 后续按顺序添加KeyInfo引用、SignedProperties引用即可，注意这两个引用只需要加C14N转换，不要加enveloped转换
   

4. 签名计算完成后，将生成的Signature节点插入到被签名业务节点的直接子级位置，不要插在文档其他位置。

快速排查技巧 #

如果调整后仍校验失败，可以在计算摘要前加断点，把转换后待哈希的字节流导出，和业务节点单独做C14N规范化后的字节逐位对比，就能快速定位是多了换行、少了节点还是属性值错误。

内容的提问来源于stack exchange，提问作者carlosp