XmlDsigXPathTransform的XPath验证返回false 官方示例运行失败

核心遗漏点 #

• 未开启XML空白保留：加载待签名/验证的XML文档时，必须设置XmlDocument.PreserveWhitespace = true。XML签名是对字节内容做哈希计算，缩进、换行这类空白字符变化会直接导致哈希值不匹配，这是照搬示例最容易漏的隐式配置。
• XPath元素命名空间不合法：当前实现中创建的<XPath>节点未指定XML签名规范要求的http://www.w3.org/2000/09/xmldsig#命名空间，会导致LoadInnerXml后XPath表达式静默失效，转换不会按预期筛选节点。
• 未排除Signature节点：当Reference的Uri设为空字符串（引用整份文档）时，XPath必须显式排除<Signature>节点本身。签名生成阶段Signature节点的Value值尚未填充，若把该节点纳入哈希计算，生成的摘要和验证阶段读取到的完整文档摘要必然不一致。
• 自定义命名空间未注册：如果业务XML存在自定义命名空间，XPath表达式中使用的前缀必须在<XPath>节点上显式声明，否则XPath无法匹配到对应节点，筛选结果不符合预期。
• 算法/转换顺序不匹配：签名和验证两端的摘要算法、转换添加顺序必须完全一致，你当前使用的SHA256摘要算法，验证端不能使用默认的SHA1配置。

修正后实现代码 #

XML加载配置 #

// 所有涉及签名/验证的XML文档加载都必须加这行配置
XmlDocument xmlDoc = new XmlDocument();
xmlDoc.PreserveWhitespace = true;
xmlDoc.Load("your-xml-path.xml");

修复后的XPath转换创建方法 #

private static XmlDsigXPathTransform CreateXPathTransform(string xpathString)
{
    XmlDocument doc = new XmlDocument();
    // 必须指定XPath节点所属的W3C签名命名空间
    XmlElement xPathElem = doc.CreateElement(
        "XPath", 
        "http://www.w3.org/2000/09/xmldsig#"
    );
    // 有自定义业务命名空间时在此处声明，示例：
    // xPathElem.SetAttribute("xmlns:biz", "https://your-biz-namespace.com");
    xPathElem.InnerText = xpathString;

    XmlDsigXPathTransform transform = new XmlDsigXPathTransform();
    transform.LoadInnerXml(xPathElem.SelectNodes("."));
    return transform;
}

合法XPath示例（排除Signature节点的整文档签名场景） #

// 内置识别ds前缀对应签名命名空间，无需额外声明
string xpath = "//*[local-name()!='Signature']";

额外注意事项 #

• 不要同时添加XmlDsigEnvelopedSignatureTransform和手写的排除Signature的XPath转换，重复转换会导致节点内容被二次处理，摘要计算错误。
• .NET Framework 4.6.1 环境下不要在XPath表达式中使用依赖上下文的相对路径，尽量用明确的筛选规则，避免上下文节点位置偏差导致筛选结果错误。

内容的提问来源于stack exchange，提问作者Tweene