Java c14n Canonicalizer属性顺序错误导致摘要计算异常如何解决

问题根因 #

你遇到的属性顺序异常是Apache XML Security低版本的已知bug：

• 低于2.3.0版本的org.apache.xml.security.c14n.Canonicalizer实现未严格遵循Canonical XML规范的排序规则，普通属性会被误排在命名空间声明属性之前
• SAML 2.0规范严格要求断言节点的命名空间声明优先于其他属性，排序错误会直接导致签名摘要计算不匹配

修复方案 #

方案1：升级Apache XML Security依赖到2.3.0及以上版本 #

官方在2.3.0版本已经修复了该属性排序bug，直接升级依赖即可自动遵循规范的排序规则，无需修改业务代码。如果是Maven项目，调整依赖版本：

<dependency>
    <groupId>org.apache.santuario</groupId>
    <artifactId>xmlsec</artifactId>
    <version>2.3.0</version> <!-- 建议使用最新稳定版 -->
</dependency>

方案2：无法升级版本时，自定义规范化逻辑重写排序规则 #

如果受项目依赖限制无法升级版本，可以继承Canonicalizer20010315类，重写handleAttributes方法，手动调整属性顺序，把命名空间声明放在所有普通属性之前：

public class CustomSAMLCanonicalizer extends Canonicalizer20010315 {
    public CustomSAMLCanonicalizer() {
        super(true);
    }

    @Override
    protected void handleAttributes(Attr[] attributes, Node parentNode) throws CanonicalizationException {
        List<Attr> nsAttrs = new ArrayList<>();
        List<Attr> normalAttrs = new ArrayList<>();
        for (Attr attr : attributes) {
            if (attr.getNodeName().startsWith("xmlns:")) {
                nsAttrs.add(attr);
            } else {
                normalAttrs.add(attr);
            }
        }
        // 命名空间在前，普通属性在后，各自按节点名称排序
        Collections.sort(nsAttrs, Comparator.comparing(Node::getNodeName));
        Collections.sort(normalAttrs, Comparator.comparing(Node::getNodeName));
        
        List<Attr> sortedAttrs = new ArrayList<>();
        sortedAttrs.addAll(nsAttrs);
        sortedAttrs.addAll(normalAttrs);
        super.handleAttributes(sortedAttrs.toArray(new Attr[0]), parentNode);
    }
}

使用时直接调用自定义的规范化器即可：

Canonicalizer customCanonicalizer = new CustomSAMLCanonicalizer();
byte[] canonicalXml = customCanonicalizer.canonicalize(xmlDoc);

方案3：临时验证的快速处理方案 #

如果仅需要临时验证逻辑正确性，可以在规范化前手动调整DOM节点的属性顺序：先移除节点所有属性，再按xmlns:saml→ID→IssueInstant→Version的顺序重新设置属性，再执行规范化操作。

内容的提问来源于stack exchange，提问作者Srikar