Как я могу подписать различные элементы XML, а также подписать их родителей?

Question

В веб-сервисе SOAP, который я пытаюсь использовать, есть необходимость отправки XML со структурой, которая похожа на эту:

<?xml version="1.0"?>
<TheData>
  <Father Id="zzz">
      <SomeInfo>1</SomeInfo>
      <List>
        <ElementOfList>
          <Child Id="foo">foo</Child>
          <Signature>
            ...
          </Signature>
        </ElementOfList>
        <ElementOfList>
          <Child Id="bar">bar</Child>
          <Signature>
            ...
          </Signature>
        </ElementOfList>
      </List>
  </Father>
  <Signature>
    ...
  </Signature>
</TheData>

В котором <Signature> имеет содержание:

<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
  <SignedInfo>
    <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315#WithComments"/>
    <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
    <Reference URI="#[the _Id_ attr of this Signature's sibling element]">
      <Transforms>
        <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
      </Transforms>
      <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
      <DigestValue>uCMzpgMnLCP9iESFQVgpmtQ5TRE=</DigestValue>
    </Reference>
  </SignedInfo>
  <SignatureValue>...</SignatureValue>
  <KeyInfo>
    <X509Data>
      <X509Certificate>...</X509Certificate>
    </X509Data>
  </KeyInfo>
</Signature>

Как мне это сделать?

Я пытаюсь с xmlsec1 --id-attr:Id Father --id-attr:Id Child, передав ему файл с Signature поля пустые, но заполняет только первое из них.

Я также попытался подписать ребенка в одиночку, поместив его в шаблон отца, а они пытались подписать отца, но xmlsec1 игнорирует второй элемент (и изменяет значение первой подписи - разве он не должен быть заключен в его элемент?).

---

Вероятно, не связано, но кто знает?

Я бы предпочел сделать это из кода Python, но три библиотеки, которые я пытался использовать, python-xmlsec, pyxmlsec и xmldsig, все были неспособны генерировать / преобразовывать URI атрибут <Reference>, Возможно, потому что им не хватает --id-attr из xmlsec1 Но эти проблемы, которые я получаю, показывают тот факт, что я не совсем понимаю эту штуку с XML-подписью, и из-за этого я делаю что-то неправильно и все портю. Пожалуйста, помогите мне понять это.

---

РЕДАКТИРОВАТЬ

Мне показалось, что многие люди испытывают трудности в этой теме подписи XML, но никто из них не пытался подписать два разных элемента в одном файле XML. Этот случай не указан также в FAQ по сценариям w3C, что делает все странным, потому что мой веб-сервис требует от меня нескольких подписей. Или нет? Вот схема, которую они публикуют: https://github.com/proge/PyNFSe/blob/master/pysped_nfse/nfse.xsd#L539 (см. Этот элемент <xsd:element name="EnviarLoteRpsEnvio"> и дети).

Answer 1

Я думаю, что нет никакого способа сделать это со сторонними библиотеками, большинству приложений нужна только подпись для всего содержимого XML, а не для конкретных элементов.

Может быть, это поможет вам:

Согласно XSD относительно метода "RecepcionarLoteRps"

<s:element name="RecepcionarLoteRps">
    <s:complexType>
        <s:sequence>
            <s:element minOccurs="0" maxOccurs="1" name="EnviarLoteRpsEnvio" type="tns:EnviarLoteRpsEnvio"/>
        </s:sequence>
    </s:complexType>
</s:element>
<s:complexType name="EnviarLoteRpsEnvio">
    <s:sequence>
        <s:element minOccurs="0" maxOccurs="1" name="LoteRps" type="tns:tcLoteRps"/>
        <s:element minOccurs="0" maxOccurs="1" name="Signature" type="s1:SignatureType"/>
    </s:sequence>
</s:complexType>
<s:complexType name="tcLoteRps">
    <s:sequence>
        <s:element minOccurs="1" maxOccurs="1" name="NumeroLote" type="s:unsignedLong"/>
        <s:element minOccurs="0" maxOccurs="1" name="Cnpj" type="s:string"/>
        <s:element minOccurs="0" maxOccurs="1" name="InscricaoMunicipal" type="s:string"/>
        <s:element minOccurs="1" maxOccurs="1" name="QuantidadeRps" type="s:int"/>
        <s:element minOccurs="0" maxOccurs="1" name="ListaRps" type="tns:ArrayOfRps"/>
    </s:sequence>
</s:complexType>
<s:complexType name="ArrayOfRps">
    <s:sequence>
        <s:element minOccurs="0" maxOccurs="unbounded" name="Rps" nillable="true" type="tns:Rps"/>
    </s:sequence>
</s:complexType>
<s:complexType name="Rps">
    <s:complexContent mixed="false">
        <s:extension base="tns:tcRps"/>
    </s:complexContent>
</s:complexType>
<s:complexType name="tcRps">
    <s:sequence>
        <s:element minOccurs="0" maxOccurs="1" name="InfRps" type="tns:tcInfRps"/>
        <s:element minOccurs="0" maxOccurs="1" name="Signature" type="s1:SignatureType"/>
    </s:sequence>
</s:complexType>

вам нужно подписать каждый "Rps" на "ListaRps" внутри "LoteRps" и, наконец, подписать элемент "LoteRps".

Вы можете сделать это, шаг за шагом генерируя XML, генерируя элемент "ListaRps" со всеми "Rps" и после получения всех элементов "InfRps" и подписывая их все, или вы можете подписать "InfRps" сразу после создания и добавления в "ListaRps", наконец, вы должны подписать "LoteRps".

Может быть, вы тоже можете сделать это, сгенерировав полный XML-код и после его анализа получить элементы и подписать его один за другим в соответствующем порядке.

Вы должны в любом случае написать код, чтобы подписать XML, как вам нужно.

Взгляните на сборку nfseWsClient, разработанную на Java и JAX-WS, но это хорошая начальная точка.

Эти два занятия будут вам интересны

• RecepcionarLoteRpsBusiness
• ProcessSign