Node.js SOAP客户端XML签名验证失败：Timestamp引用摘要校验异常

• 客户端基于支持WS-Security X509证书能力的Node.js soap npm包开发SOAP客户端，对接本地C#技术栈搭建的SOAP服务
• 服务端使用微软SignedXML类校验入站请求的签名合法性，客户端发送的请求始终无法通过校验
• 第三方独立校验结果：将抓包获取的完整SOAP信封通过在线XML签名验证工具校验，输出如下：

Signature Verified 
Number of Reference Digests = 2 
Reference 1 digest is valid. 
Reference 2 digest is invalid because the computed digest differs from the digest in the XML.

• 已定位的异常：校验失败的第二个引用对应Timestamp元素
• 已确认的签名配置：签名计算采用http://www.w3.org/2001/10/xml-exc-c14n#规范化方法
• 初步判断：异常大概率源于Timestamp节点处理时的命名空间映射、空白字符处理逻辑与服务端校验规则不兼容

• 优先排查Timestamp节点的规范化字节流差异
  • 检查soap包生成的Timestamp节点内容，确认Created、Expires子元素前后是否存在多余换行、缩进空格。exc-c14n规则会完整保留节点内的所有可见空白字符，这类冗余字符会直接导致摘要计算结果和服务端预期不一致
  • 核对Timestamp节点的命名空间归属：服务端校验时要求Timestamp必须归属WS-Security约定的安全头命名空间，exc-c14n规范化时要排除上层安全头节点的冗余命名空间声明，避免无关命名空间上下文被纳入摘要计算
• 调整soap包的签名计算配置
  • 关闭soap包默认的XML节点自动格式化缩进，确保Timestamp节点输出为无多余空白的紧凑结构
  • 明确指定Timestamp引用的规范化算法为http://www.w3.org/2001/10/xml-exc-c14n#，不要沿用默认的全C14N规则，避免上层SOAP信封的命名空间被带入计算上下文
  • 校验引用URI处理逻辑：当Timestamp的引用URI为#Timestamp-xxx格式时，确认摘要计算前正确剥离URI前缀，未把URI字符串纳入规范化字节流
• 跨端对齐校验逻辑
  • 从服务端日志中提取SignedXML解析的Timestamp原始节点字符串，和客户端发送的实际节点逐字节比对，重点排查全角空格、制表符被替换为半角空格、命名空间声明顺序颠倒的问题
  • 确认服务端SignedXML的规范化配置未开启额外的空白裁剪、命名空间过滤逻辑，避免服务端主动修改节点内容导致和客户端计算的字节流不匹配
• 规避常见配置坑点
  • 不要在Timestamp节点上添加自定义属性、注释内容，这类内容会被exc-c14n规则完整保留，直接导致摘要计算错误
  • 核对客户端和服务端的摘要算法配置一致性：若服务端采用SHA1算法，客户端未匹配对应配置也会出现摘要不匹配，可作为次优先级排查项

内容的提问来源于stack exchange，提问作者Max775