ForgeRock AM 7.1.0 导入远程服务提供商XML元数据报错问询

在ForgeRock AM 7.1.0环境搭建SAML 2.0 IDP，导入远程服务提供商（SP）元数据文件时，管理面板返回报错：

Exception from invocation expected to be handled by promise

后端调试日志错误栈如下：

[CONTINUED]Caused by: org.w3c.dom.DOMException: NOT_FOUND_ERR: An attempt is made to reference a node in a context where it does not exist.
[CONTINUED] at java.xml/com.sun.org.apache.xerces.internal.dom.ElementImpl.setIdAttribute(ElementImpl.java:965)
[CONTINUED] at com.sun.identity.saml2.meta.SAML2MetaSecurityUtils.verifySignature(SAML2MetaSecurityUtils.java:269)
[CONTINUED] at com.sun.identity.saml2.meta.SAML2MetaUtils.preProcessSAML2Document(SAML2MetaUtils.java:602)
[CONTINUED] at com.sun.identity.saml2.meta.SAML2MetaUtils.importSAML2Document(SAML2MetaUtils.java:579)
[CONTINUED] at org.forgerock.openam.federation.rest.remote.RemoteEntitiesCollectionProvider.importEntity(RemoteEntitiesCollectionProvider.java:127)
[CONTINUED] ... 156 common frames omitted
[CONTINUED]java.lang.IllegalStateException: Exception from invocation expected to be handled by promise
at org.forgerock.json.resource.AnnotatedMethod.invoke(AnnotatedMethod.java:100)
at org.forgerock.json.resource.AnnotatedMethod.invoke(AnnotatedMethod.java:65)

核心触发点是AM在验证SP元数据签名的过程中，无法找到签名引用的XML节点，具体分为几类常见原因：

• SP元数据的XML格式存在语法错误，比如标签未闭合、属性值缺失/格式异常，导致DOM树解析不完整
• 元数据的签名结构不规范：Signature标签下的Reference节点的URI属性引用的ID，在整个元数据XML中不存在（比如大小写不匹配、拼写错误、对应节点被删除）
• 元数据中节点的ID属性未使用标准的xml:id声明，仅使用了自定义的ID属性，AM的验签逻辑无法识别该属性作为节点唯一标识
• ForgeRock AM 7.1.0存在已知缺陷，对未预声明xml:id的元数据处理逻辑存在漏洞，触发DOM节点引用异常

• 第一步：校验元数据XML合法性
  使用XML格式校验工具检查SP元数据文件，修复所有标签闭合、属性格式类的语法错误，确保XML可以正常被解析
• 第二步：校验签名引用关系
  打开元数据文件，找到<ds:Signature>节点下的<ds:Reference URI="#xxxx">配置，检查URI属性中#后的ID值，是否和元数据中根节点（通常是<md:EntityDescriptor>）的ID属性值完全一致，包括大小写、特殊字符，如果不一致则修正
• 第三步：修复ID属性声明
  如果元数据中对应节点只声明了ID="xxxx"，没有xml:id="xxxx"，可以直接在该节点上添加xml:id属性，属性值和原ID属性值完全相同即可；如果是测试环境临时验证，也可以暂时关闭元数据验签：进入AM管理面板→全局服务→SAML2服务，取消勾选「验证已签名的元数据」选项，导入完成后再按需开启
• 第四步：修复版本缺陷
  如果是AM 7.1.0的原生缺陷触发该问题，安装对应版本的最新补丁包即可解决该DOM节点处理异常
• 第五步：重新导入元数据
  完成上述修改后，重新上传SP元数据文件即可正常导入

内容的提问来源于stack exchange，提问作者Vishnu S Kumar