C#中多签名Signed XML验证异常问题排查

你遇到的这个问题，核心原因是复用了同一个SignedXml实例来验证多个签名节点。SignedXml类内部会缓存与当前XML文档、签名上下文相关的状态信息（比如命名空间映射、已解析的节点引用等），当你加载第二个签名节点时，之前验证第一个签名留下的状态没有被清空，导致验证上下文混乱——这就是为什么交换签名顺序后结果会反转，每次复用实例时，前一次的状态都会干扰下一次的验证。

另外你的返回值逻辑也存在模糊性：比如如果第二个签名验证成功、第一个失败，最终返回值会是1（第二次循环覆盖了ret值）；而如果第一个成功第二个失败，会返回-2，这可能和你“验证所有签名有效性”的实际需求不匹配。

解决的核心是为每个签名节点创建独立的SignedXml实例，确保每次验证都有干净的上下文。同时可以调整返回值逻辑，明确区分不同的验证结果（比如所有签名有效、部分有效、全部无效、无签名等）。

修正后的代码如下：

public static int isValidSignature(string encodedXml, string key) 
{
    int ret = 0;
    string xml = Encoding.UTF8.GetString(Convert.FromBase64String(encodedXml));
    XmlDocument xmlDoc = new XmlDocument();
    xmlDoc.PreserveWhitespace = true;
    xmlDoc.LoadXml(xml);
    X509Certificate2 cert = new X509Certificate2(Convert.FromBase64String(key));

    NameTable nt = new NameTable();
    XmlNamespaceManager nsmgr = new XmlNamespaceManager(nt);
    nsmgr.AddNamespace("ds", "http://www.w3.org/2000/09/xmldsig#");
    XmlNodeList nodeList = xmlDoc.SelectNodes(".//ds:Signature", nsmgr);

    if (nodeList.Count == 0) 
    {
        ret = -1; // 无签名节点
    } 
    else 
    {
        bool allSignaturesValid = true;
        bool hasValidSignature = false;
        
        foreach (XmlNode node in nodeList) 
        {
            // 为每个签名创建全新的SignedXml实例
            SignedXml signedXml = new SignedXml(xmlDoc);
            signedXml.LoadXml((XmlElement)node);
            
            bool isCurrentValid = signedXml.CheckSignature(cert, true);
            if (isCurrentValid)
            {
                hasValidSignature = true;
            }
            else
            {
                allSignaturesValid = false;
            }
        }

        // 根据业务需求定义返回值：
        if (allSignaturesValid)
        {
            ret = 1; // 所有签名均有效
        }
        else if (hasValidSignature)
        {
            ret = -2; // 部分签名有效
        }
        else
        {
            ret = 0; // 所有签名均无效
        }
    }
    return ret;
}

1. 空白字符保留：你已经设置了xmlDoc.PreserveWhitespace = true，这非常关键——XML签名对空白字符的敏感度极高，保留原始空白才能保证验证的准确性，不要随意移除这个设置。
2. 证书匹配：如果SAML响应中的两个签名使用了不同的证书，你需要调整逻辑（比如传入证书列表而非单个证书），确保每个签名都用对应的公钥验证。
3. 返回值逻辑：可以根据实际业务需求简化或调整返回值规则，比如如果只需要“至少一个签名有效”，那逻辑可以简化为只要有一个验证成功就返回1，否则返回0。

内容的提问来源于stack exchange，提问作者Andrew