问题标签 [xmlsec]

我正在尝试验证 SAML 断言签名，但收到以下错误：

我正在使用 OpenSAML 2.6.1、XMLSec 1.5.6 和 JDK7u51。有什么办法可以摆脱这个错误？

如何使用 xmlsec1 验证 Win8 inapp-purchase 收据？这是我想做的事情：

1. 我的样品收据（保存在文件中receipt.xml）：

2. 使用，我使用此 urlCertificateId检索证书并将其保存到文件中。以下是它的内容：cert

   /li>

3. 然后我试试这个：xmlsec1 --verify --print-debug --pubkey-cert-pem cert receipt.xml。这是输出：

   /li>

难道我做错了什么？我应该提供哪些参数来正确验证收据？或者它确实无效（那么有人可以向我提供有效的收据吗？）？

我正在尝试使用 pyxmlsec 验证 Windows 8 收据 XML 签名。

我的收据 ( receipt.xml) 如下所示：

这是我的证书（cert）：

当我使用xmlsec1控制台程序时它会验证（感谢我之前的问题）：

现在我正在尝试使用 pyxmlsec 包（及其文档）做同样的事情：

我在这里做错了什么？如何修复？或者有没有更好的 python 包来完成这个任务？

尝试使用 maven 使用 cxf+wss4j。创建了服务和客户端，没有任何编译问题。该服务在tomcat中运行良好。
问题： 当我运行客户端代码时，我得到“java.lang.NoSuchMethodError: org.apache.xml.security.utils.I18n.init(Ljava/util/ResourceBundle;)V”。此类在 xmlsec jar 中，随 cxf 分发一起提供。

服务项目的 pom.xml：

客户端项目的 pom.xml

编辑：使用 wss4j 试用用户名令牌，客户端代码：

客户端 wss4j 配置：

服务 wss4j 配置：

I can verify a XML Signature with Apache Santuario XML security for Java. The code is like:

Now, I want to implement it in C++. I've tried Apache Santuario XML security for C++, but it failed because it said that it doesn't support c14n11 (I hope I'm wrong). So, I changed to use libxmlsec1, but the problem is I don't know how to implement with libxmlsec1. It doesn't have to verify all the files of Reference element. I just want to verify SignedInfo element. I've only done the following code.

It fails with the following errors:

Please does anyone know how to make xmlsec1 read all the x509Certificate elements from the signature.xml, and verify signature.xml?

The following is signature.xml.

我正在尝试使用此调用加密我的 XMl：

为此，项目引用 xmlsec-1.5.3.jar

我能够在 weblogic server 上成功构建和部署代码，但是执行后我在日志中收到以下错误。

我正在使用xmlsec库来验证SAML断言的签名。我的代码几乎与xmlsec 网页上提供的verify4.c示例相同。

我正在链接 xmlsec-openssl 库，因此使用 openssl 作为加密引擎。

我期望 xmlsec 仅在使用我已加载到密钥管理器中的特定证书之一签名时才认为签名有效。

但是，如果使用可以由 openssl 验证的任何证书签名，则签名似乎被认为是有效的。这意味着有人可以通过从受信任的根 CA 购买证书并使用该证书签署他们想要的任何响应来伪造 SAML 响应。

不仅如此，该库提供的xmlsec1命令行工具似乎也在做同样的事情：

实际上，在理想情况下，只要我能够识别密钥的主题并因此确认它是由我预期的实体签名的，我就会很高兴使用任何有效的签名密钥。当 SAML 响应的发送者更改其签名密钥时，这将简化问题。但是我还没有找到一种简单的方法来提取用于验证签名的证书的详细信息。

如果做不到这一点，我可以让它只接受我在验证签名时指定的证书吗？

假设我有这样的 xml：

签约后我得到：

<Signature>被包围的事实是否<CD>意味着它完全签署了元素，或者因为<ds:Reference URI="">它意味着整个 XML 被签署？通过阅读规范http://www.w3.org/TR/xmldsig-core/我留下的印象是封装签名不需要参考 URI。这个对吗？

我在 websphere 8.5 中使用 spring/wss4j 来实现 web 服务安全。Wss4j 需要 xmlsec.jar，我在 WEB-INF/lib/xmlsec-2.0.4.jar 下包含了 xmlsec.jar。但是 websphere 类加载器找不到 DOMXMLSignatureFactory。

我正在为 APPLICATION 和 MODULE 设置 PARENT_LAST。Xmlsec-2.0.4.jar 显示在“类加载器查看器”下。我检查了我所有的库，没有重复的 DOMXMLSignatureFactory 类。有人可以帮帮我吗！

我在 cygwin 环境中从https://www.aleksey.com/xmlsec/news.html编译了最新版本的 XMLSec。现在我按照这个示例使用会话密钥和数字签名加密 XML 文件。http://users.dcc.uchile.cl/~pcamacho/tutorial/web/xmlsec/xmlsec.html#htoc9 由于 CBC 存在一些严重的安全问题，我现在想加强使用 AES-128-GCM 而不是 3DES- 192-CBC。我尝试将 Session-Key-Template.xml 更改为

但这会给我一个错误，即找不到算法。控制台输出是

有人知道如何正确设置吗？