如何使用 java.security 验证 xmldsig 签名

Question

我需要使用 java.security 包验证带有 xml-dsig 签名的文档。加载后，我解组文档并根据 xsd - http://www.w3.org/2000/09/xmldsig#

具有签名对象

然后：

@Service
public class XmlSignatureCheckerImpl implements XmlSignatureChecker {
    private static final String ENCRYPTION_ALGORITHM = "RSA";

    private static final String HASH_ENCRYPTION_ALGORITHM = "SHA1withRSA";

    @Override
    @Nullable
    public PublicKey getPublicKey(byte[] exp, byte[] mod) {
        BigInteger modulus = new BigInteger(1, mod);
        BigInteger exponent = new BigInteger(1, exp);
        RSAPublicKeySpec rsaPubKey = new RSAPublicKeySpec(modulus, exponent);

        KeyFactory fact;
        try {
            fact = KeyFactory.getInstance(ENCRYPTION_ALGORITHM);
            return fact.generatePublic(rsaPubKey);
        } catch (NoSuchAlgorithmException | InvalidKeySpecException e) {
            e.printStackTrace();
        }
        return null;
    }

    @Override
    @Nullable
    public Boolean verify(byte[] message, byte[] signature, PublicKey publicKey) {
        final Signature sig;
        try {
            sig = Signature.getInstance(HASH_ENCRYPTION_ALGORITHM);
            sig.initVerify(publicKey);
            sig.update(message);
            boolean verify = sig.verify(Base64.encodeBase64Chunked(signature));
            return verify;
        } catch (NoSuchAlgorithmException | SignatureException | InvalidKeyException e) {
            e.printStackTrace();
        }
        return null;
    }
}

调用getPublicKey验证，结果签名长度不匹配，如果我不编码签名也没有不匹配，但验证也是错误的，但我使用的测试数据是完全有效的。放弃发现错误，帮助我。请。文件编码为UFT-8。

Answer 1

你看过官方文档了吗？好像和标志工厂合作比较方便http://www.oracle.com/technetwork/articles/javase/dig-signature-api-140772.html

此外，我找到了这些示例，如果有帮助的话https://www.java-tips.org/java-ee-tips-100042/158-xml-digital-signature-api/1473-using-the-java-xml-digital-signature-api.html

如何使用 java.security 验证 xmldsig 签名

How to verify xmldsig signature using java.security

java

xml-dsig