Comment produire la signature XML sans espaces ni de sauts de ligne en Java?
https://stackoverflow.com/questions/4728300
-
12-10-2019 - |
italiano
english
français
española
中国
日本の
العربية
Deutsch
한국어
Português
RussianQuestion
Je travaille avec le projet brazilian " title="Nota Eletronica"> fiscale Nota Fiscal electronica", dans lequel ils définissent une manière standart de signer des documents XML.
Récemment, ils ont commencé à exiger qu'il n'y a absolument pas entre les balises, les espaces blancs y compris les balises de signature (*).
Il nous arrive d'utiliser apache est XML Signature et je ne peux pas sembler produire une signature non indenté.
Si je supprime les espaces blancs après la signature, la signature est cassé.
Je ne peux pas changer le canonicalizer / transformateurs fixés soit, car ils sont prédéfinis.
Je ne pouvais pas trouver une option ou d'un paramètre dans l'API XML Signature à l'indentation de commande ou des espaces.
Voici le code:
// the element where to insert the signature
Element element = ...;
X509Certificate cert = ...;
PrivateKey privateKey = ...;
XMLSignature signer =
new XMLSignature(doc, "http://xml-security",
XMLSignature.ALGO_ID_SIGNATURE_RSA_SHA1);
element.appendChild(signer.getElement());
Transforms transforms = new Transforms(doc);
// Define as regras de transformação e canonicalização do documento
// XML, necessário para fazer a verificação do parsing e da
// assinatura pelos destinatários
transforms.addTransform(Transforms.TRANSFORM_ENVELOPED_SIGNATURE); //, xpath.getElementPlusReturns());
transforms.addTransform(Transforms.TRANSFORM_C14N_OMIT_COMMENTS); //,xpath.getElementPlusReturns());
String id = "";
id = ((Element) element.getElementsByTagName("infNFe").item(0)).getAttributeNode("Id").getNodeValue();
signer.addDocument("#" + id, transforms,
Constants.ALGO_ID_DIGEST_SHA1);
signer.addKeyInfo(cert);
signer.sign(privateKey);
Et ci-dessous est la signature résultante (extrait):
<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
<SignedInfo>
<CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
<SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
<Reference URI="#NFe43110189716583000165550010000076011492273645">
<Transforms>
<Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
<Transform Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
</Transforms>
<DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
<DigestValue>fas0ra5uRskQgRHSrIYhEjFEjKQ=</DigestValue>
</Reference>
</SignedInfo>
<SignatureValue>
2RGltUZy0HfNoiKtVanAeN+JUPyglWDuQNnMudSgA7kESoHBZ/q/GMbc+xMSN1eV8u7+2PxSKl1T
Zl592FWmCSAkL8pwMujDxJ4iTLU20Hf0dNF7oGcyB+g9GgbipW2udq0kwJLz6HzXUD/Evf/0y+3T
NtsXeIaA6A29ttD/UEs=
</SignatureValue>
<KeyInfo>
<X509Data>
<X509Certificate>
MIIFqTCCBJGgAwIBAgIEQeNSuzANBgkqhkiG9w0BAQUFADBaMQswCQYDVQQGEwJicjETMBEGA1UE
ChMKSUNQLUJyYXNpbDEgMB4GA1UECxMXQ2FpeGEgRWNvbm9taWNhIEZlZGVyYWwxFDASBgNVBAMT
C0FDIENBSVhBIFBKMB4XDTEwMDYwODE5MjQwNVoXDTExMDYwODE5NTQwNVowgYQxCzAJBgNVBAYT
AmJyMRMwEQYDVQQKEwpJQ1AtQnJhc2lsMSAwHgYDVQQLExdDYWl4YSBFY29ub21pY2EgRmVkZXJh
bDEUMBIGA1UECxMLQUMgQ0FJWEEgUEoxKDAmBgNVBAMTH0EgQlVITEVSIFNBIENVUlRVTUU6NDA5
NDI0OTAwMTAwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJAoGBAOFxgvG35RQWgXec4zVrzoUHolnJ
fP76rpO2Vo40593W9Gf0WwHt36gVmli0ZeQitFmzFSoE5KhgXQGZg6RpV3WJUFcIrPBHPdqOSfiB
988kf962P+j8fZ38BNmo7TV9H9hMBkV9bD/QOe73wFDc+rT6/9io++Z+7/wup/3glKntAgMBAAGj
ggLOMIICyjAOBgNVHQ8BAf8EBAMCBeAwVwYDVR0gBFAwTjBMBgZgTAECAQkwQjBABggrBgEFBQcC
ARY0aHR0cDovL2ljcC5jYWl4YS5nb3YuYnIvcmVwb3NpdG9yaW8vZHBjYWNjYWl4YXBqLnBkZjAp
BgNVHSUEIjAgBggrBgEFBQcDAgYIKwYBBQUHAwQGCisGAQQBgjcUAgIwgbYGA1UdEQSBrjCBq4EV
YnVobGVyQGFidWhsZXIuY29tLmJyoD4GBWBMAQMEoDUEMzE0MDkxOTQ2NDA5NDI0OTAwMTAxMDg0
NDcwODE3NTAwMDAwODAzMjkyMjM1NlNTUCBSU6AeBgVgTAEDAqAVBBNOQUlSIEJVSExFUiBTQ0hO
RUNLoBkGBWBMAQMDoBAEDjg5NzE2NTgzMDAwMTY1oBcGBWBMAQMHoA4EDDAwMDAwMDAwMDAwMDCC
ATIGA1UdHwSCASkwggElMIGuoIGroIGohjJodHRwOi8vaWNwLmNhaXhhLmdvdi5ici9yZXBvc2l0
b3Jpby9BQ0NBSVhBUEoxLmNybIY0aHR0cDovL2ljcDIuY2FpeGEuZ292LmJyL3JlcG9zaXRvcmlv
Mi9BQ0NBSVhBUEoxLmNybIY8aHR0cDovL3JlcG9zaXRvcmlvLmljcGJyYXNpbC5nb3YuYnIvbGNy
L2NhaXhhL0FDQ0FJWEFQSjEuY3JsMHKgcKBupGwwajELMAkGA1UEBhMCYnIxEzARBgNVBAoTCklD
UC1CcmFzaWwxIDAeBgNVBAsTF0NhaXhhIEVjb25vbWljYSBGZWRlcmFsMRQwEgYDVQQDEwtBQyBD
QUlYQSBQSjEOMAwGA1UEAxMFQ1JMNDEwHwYDVR0jBBgwFoAUjkAvCv4T1ao5oHZ0htO8fcfx5c8w
CQYDVR0TBAIwADAZBgkqhkiG9n0HQQAEDDAKGwRWNy4xAwIDqDANBgkqhkiG9w0BAQUFAAOCAQEA
nZHUvdnZsiCIDjKm1zHehbtuDtDJha4O4FZ03J74Y+AxyAFs/4JED+xUvZ5jFuEsdqgA0V/dxUFy
Uz/ca10Ievd578GQdGwYl1GFhRtO/SlxeaOEf7eDdGOWXO3VmUA3NmNo0X8RRTIoifnhpDXu7RbN
5sijyH/uXyRFWX9XH2N0U/r3oJtNKXsvoUlbDrkalgkuLzLKsaEj0TkwisXO3cmMoWGuBpAZC+46
e4x/2vTqOvYkzZO+O9NLi0YWSYY7OJKiKBjMC6MzdlPM9VTkIwO9WvWEMdbU0/jhO2cMcVMzNZc1
r6ZmdTDrwqV3elSTkQtJ0RIZNgMJUn+Y8c7Aog==
</X509Certificate>
</X509Data>
</KeyInfo>
</Signature>
Notez que les (indésirables) sauts de ligne.
Toute aide serait grandement appréciée.
Merci beaucoup à l'avance.
(*) Précision: la nouvelle règle interdit (ou tout espacements autre texte) entre les balises élément uniquement. À titre d'exemple, ce serait permis :
<a><b>
text
inside
tag
</b></a>
alors que ce serait interdit :
<a>
<b>text</b>
</a>
parce que sur ce dernier cas, les espacements (sauts de ligne) sont entre deux balises, ou, autrement dit, placé à l'intérieur d'une balise d'élément uniquement.
Autres conseils
les blocs de signature encodent des informations binaires en base64, qui doivent suivre quelques formating y compris les sauts de ligne (voir http://en.wikipedia.org/wiki/Base64 ). Alors vous les enlever peut tout simplement pas sans modifier les informations.
une meilleure façon de trafic réseau redure, est d'utiliser comression avant d'envoyer des données.
est-opensource XML Signature, donc je suppose que vous devez obtenir le code source et pirater votre auto.
Probablement votre solution aidera les autres à l'avenir, créez un patch et de le renvoyer au projet.
Bonne chance!
:) :)
J'ai trouvé une solution (honteuse).
Il est pas la solution attendue, bien que:. Le remplacement de l'API apache avec API javax.xml.crypto
Voici le code modifié:
// the element where to insert the signature
Element element = ...;
X509Certificate cert = ...;
PrivateKey privateKey = ...;
// Create a DOM XMLSignatureFactory that will be used to
// generate the enveloped signature.
XMLSignatureFactory fac = XMLSignatureFactory.getInstance("DOM");
// Create a Reference to the enveloped document (in this case,
// you are signing the whole document, so a URI of "" signifies
// that, and also specify the SHA1 digest algorithm and
// the ENVELOPED Transform.
List<Transform> transformList = new ArrayList<Transform>();
TransformParameterSpec tps = null;
Transform envelopedTransform;
try {
envelopedTransform = fac.newTransform(Transform.ENVELOPED,
tps);
Transform c14NTransform = fac.newTransform(
"http://www.w3.org/TR/2001/REC-xml-c14n-20010315", tps);
transformList.add(envelopedTransform);
transformList.add(c14NTransform);
} catch (NoSuchAlgorithmException e) {
throw new RuntimeException("Erro inesperado: " + e.getMessage(), e);
} catch (InvalidAlgorithmParameterException e) {
throw new RuntimeException("Erro inesperado: " + e.getMessage(), e);
}
// Create the KeyInfo containing the X509Data.
KeyInfoFactory kif = fac.getKeyInfoFactory();
List<Serializable> x509Content = new ArrayList<Serializable>();
x509Content.add(cert);
javax.xml.crypto.dsig.keyinfo.X509Data xd = kif.newX509Data(x509Content);
KeyInfo ki = kif.newKeyInfo(Collections.singletonList(xd));
// Obtem elemento do documento a ser assinado, será criado uma
// REFERENCE para o mesmo
Element el = (Element) element.getElementsByTagName(subTag).item(0);
String id = el.getAttribute("Id");
// Create a DOM XMLSignatureFactory that will be used to
// generate the enveloped signature.
Reference ref;
javax.xml.crypto.dsig.SignedInfo si;
try {
ref = fac.newReference("#" + id, fac.newDigestMethod(
DigestMethod.SHA1, null), transformList, null, null);
// Create the SignedInfo.
si = fac.newSignedInfo(fac.newCanonicalizationMethod(
CanonicalizationMethod.INCLUSIVE,
(C14NMethodParameterSpec) null), fac.newSignatureMethod(SignatureMethod.RSA_SHA1, null),
Collections.singletonList(ref));
} catch (NoSuchAlgorithmException e) {
throw new RuntimeException("Erro inesperado: " + e.getMessage(), e);
} catch (InvalidAlgorithmParameterException e) {
throw new RuntimeException("Erro inesperado: " + e.getMessage(), e);
}
// Create the XMLSignature, but don't sign it yet.
javax.xml.crypto.dsig.XMLSignature signature = fac.newXMLSignature(si, ki);
// Marshal, generate, and sign the enveloped signature.
// Create a DOMSignContext and specify the RSA PrivateKey and
// location of the resulting XMLSignature's parent element.
DOMSignContext dsc = new DOMSignContext(privateKey, element);
signature.sign(dsc);
Cette API produit la signature sans espaces blancs entre les balises du tout.
voudrais encore voir une solution pour l'API apache, puisque ce code était très déjà mûr, et nous ne voulons pas que le risque autant que toute modification de la mise en œuvre de la signature.
Nous avons juste besoin de régler le paramètre « true » valeur à « de ignoreLineBreaks », provoquer la valeur par défaut est faux, ce qui permet à l'API de signature pour ajouter LineBreaks
voici le code pour éviter ou LineBreaks de remove
Field f = XMLUtils.class.getDeclaredField("ignoreLineBreaks");
f.setAccessible(true);
f.set(null, Boolean.TRUE);
alors, nous pouvons nous assurer que la nouvelle valeur est vraie avec la ligne suivante de code
System.err.println(XMLUtils.ignoreLineBreaks());
J'ai eu le même problème et cela a fonctionné pour moi.
Vous pouvez essayer:
System.setProperty("org.apache.xml.security.ignoreLineBreaks", "true");
signes de signature XML partie d'un document XML à partir d'un élément donné (par exemple une arborescence secondaire DOM) après qu'il est normalisé avec un algorithme de C14N. L'algorithme standard C14N vous utilisez conserves les sauts de ligne et les espaces blancs (voir http: // www .w3.org / TR / xml-C14N # Exemple-WhitespaceInContent ).
Donc tous les sauts de ligne dans la partie signée du document original (y compris entre la dernière balise de données et la balise <Signature>, et entre </Signature> et la prochaine balise de fermeture) * doivent être conservés afin de ne pas de modifier la signature. Les sauts de ligne et des espaces dans l'élément Signature lui-même ne sont pas importants et peuvent être enlevés sans altérer la signature.
Voici un exemple:
<root id="signedpart">
<data>
...
</data>
<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
<SignedInfo>
<Reference URI="#signedpart">
...
</Reference>
</SignedInfo>
</Signature>
</root>
Voici vos options possibles:
-
définir votre propre algorithme de C14N qui enlèvera par elle-même des espaces et des sauts de ligne. Je déconseille ce que l'autre côté doit également utiliser cette non algorithme standard de C14N.
-
supprimer les sauts de ligne un espace de vous XML avant signer (et supprimer éventuellement des espaces après dans la signature)
avec l'exemple, cela vous donnera le code XML suivant signé:
<root id="signedpart"><data>...</data><Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
<SignedInfo>
<Reference URI="#signedpart">
...
</Reference>
</SignedInfo>
</Signature></root>
et après la suppression des espaces dans la signature
<root id="signedpart"><data>...</data><Signature xmlns="http://www.w3.org/2000/09/xmldsig#"><SignedInfo><Reference URI="#signedpart">...</Reference></SignedInfo></Signature></root>
