验证SAML AuthnRequest签名始终提示无效，问题出在哪里？

SAML 2.0 AuthnRequest 签名验证失败原因及修复方案 #

核心错误点 #

• 1. 签名验证的输入内容错误
     XML数字签名的签名对象是<ds:SignedInfo>节点，而非完整XML、也非原始编码的请求参数。且必须严格按照签名中指定的规范化算法http://www.w3.org/2001/10/xml-exc-c14n#对SignedInfo节点做格式化处理，原始XML字符串的空格、属性顺序、命名空间声明位置的微小差异都会导致哈希值不匹配。
• 2. 签名值解码方式错误
     你当前使用Buffer.from(signature, 'utf-8')处理base64编码的签名值，会导致二进制内容完全失真，必须改为Buffer.from(signature.replace(/\s/g, ''), 'base64')（先去掉签名值里的换行、空格再做base64解码）。
• 3. 缺少Reference摘要校验步骤
     完整的XML签名验证需要先校验摘要：按照<ds:Reference>中定义的转换规则，先执行enveloped-signature转换（移除整个<ds:Signature>节点），再做exc-c14n规范化，计算SHA256哈希后和<ds:DigestValue>的值对比，一致后再执行签名校验。
• 4. 证书公钥提取问题
     部分Node.js版本的crypto模块不会自动从X.509证书中提取公钥，建议先显式从证书中导出公钥再用于校验。

正确实现示例 #

推荐使用成熟的XML签名处理库避免手动处理规范化的坑，示例代码如下：

const { DOMParser } = require('@xmldom/xmldom');
const { SignedXml } = require('xml-crypto');

// 你的SAML XML字符串
const samlMessage = `你拿到的完整AuthnRequest XML内容`;
// 你的PEM格式证书
const certificate = `-----BEGIN CERTIFICATE-----
......
-----END CERTIFICATE-----`;

// 解析XML
const doc = new DOMParser().parseFromString(samlMessage);
// 提取Signature节点
const signatureNode = doc.getElementsByTagNameNS('http://www.w3.org/2000/09/xmldsig#', 'Signature')[0];

const signedXml = new SignedXml();
signedXml.loadSignature(signatureNode);
// 执行校验，传入证书内容
const isValid = signedXml.checkSignature(samlMessage);

console.log('签名是否有效：', isValid);

内容的提问来源于stack exchange，提问作者marcelh