Java 和 XMLDSig：没有 URI 的参考答案

【问题标题】：Java & XMLDSig: Reference with no URIJava 和 XMLDSig：没有 URI 的参考
【发布时间】：2013-03-20 11:20:58
【问题描述】：

我正在尝试使用带有 javax.xml.crypto.dsig.* 包的 XMLDSig 对一些文本进行签名。我需要参考一些正在签名的内容。并且根据项目要求这个引用不应该有任何URI，它的意思不是...，而是...。

我还没有找到任何信息是否可能和正确，但要求说 XMLDSig 允许这样的引用，每个签名最多一个。

有人遇到过同样的问题吗？如何使用 javax.xml.crypto.dsig.* 包生成具有此类引用的签名并且没有魔法？

据我了解，上面提到的包只允许使用 URI（或空 URI）引用一些数据，但根本不能没有任何 URI。可能是我在使用过程中遗漏了什么？

【问题讨论】：

这很奇怪。我正在尝试使用 URI 对 XML 进行签名，但没有它只能对其进行签名。
您可能混淆了这些术语。我说的是创建一个没有 URI 的签名引用对象，而不是没有 URI 的 XML。

标签： java xml-signature xml-dsig

【解决方案1】：

确实，XML 签名可以包含一个没有 URI 的Reference，但是您需要告诉签名上下文如何找到以这种方式引用的对象。这可以通过使用URIDereferencer 的自定义实现来完成。

因此，要在没有任何 URI 的情况下引用签名中的某些内容，您可以执行以下操作：

Reference dataReference = xmlSigFactory.newReference(null, <your digest method>, <your transformations list>, <needed type>, <id>);

第一个 null 参数表示 null 作为 URI，即没有 URI。

要使此引用有效，您需要在 DOMSignContext 对象中指定自定义的 URIDereferencer 实现，该对象包含对正在签名的内容的所有引用。此自定义 URIDereferencer 应包含查找正在签名的内容的逻辑，它是您自己的实现，因此您应该知道如何查找所需的内容。

【讨论】：

【解决方案2】：

创建 NoUriDereferencer 实现 URIDereferencer 并为您的 XmlSignContect 设置它

public class NoUriDereferencer implements URIDereferencer {

private Node data = null;

public NoUriDereferencer(Node node) {
    data = node;
}

public Data dereference(URIReference ref, XMLCryptoContext ctxt) {
    return new NodeSetData() {
        public Iterator iterator() {
            return Collections.singletonList(data).iterator();
        }
    };
}
}

【讨论】：