XmlDSig：参考处理模型（节点集与八位字节流）

Question

我正在学习XML Advanced Electronic Signatures。

要创建“ArchiveTimeStamp”（第 58 页），规范说：

根据 XMLDSIG 的引用处理模型处理检索到的 ds:Reference 元素。

如果结果是 XML 节点集，则对其进行规范化。 (...)

参考处理模型结束了：

<ds:Reference Id="myId" URI="http://fakefile.xml">
    <ds:Transforms>
        <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
    </ds:Transforms>
    <ds:DigestMethod/>
    <ds:DigestValue/>
</ds:Reference>

该过程使用“URI=...”和“ds:Transforms”来检索数据。

以下部分摘自 (4.3.3.2 The Reference Processing Model)：

URI 解引用或后续结果的数据类型 Transforms 是八位字节流或 XPath 节点集。 (...)

在本规范中，“同一文档”引用被定义为 由井号 ('#') 后跟一个 片段或由空 URI (...) 组成

除非 URI-Reference 是这样的“相同文档”引用，否则 取消引用 URI-Reference 的结果必须是八位字节流。在 特别是，由 URI 标识的 XML 文档不会被 签名应用程序，除非 URI 是同文档引用或 除非应用了需要 XML 解析的转换。

以下示例演示了 URI 属性标识的内容 以及如何取消引用：

URI="http://example.com/bar.xml"
标识八位字节 (...)

URI="http://example.com/bar.xml#chapter1"
标识外部 XML 资源 (...) 的 ID 属性值为“chapter1”的元素，以八位字节流的形式提供。 (...)

URI=""
标识节点集（...）

URI="#chapter1"
标识包含 (...) 的节点集

问题。

对于这些参考资料：

<ds:Reference Id="myId" URI="http://fakefile.xml">
...
(empty transform list)
...
</ds:Reference>

结果 1#: (<file> ... childs ... <file>)。 不应用摘要转换

<ds:Reference Id="myId" URI="http://fakefile.xml">
...
<ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
...
</ds:Reference>

结果 2#：(xml with exc-c14n)。 不应用摘要转换

<ds:Reference Id="myId" URI="http://fakefile.xml">
...
<ds:Transform "fake_Xpath_transform_to_get_all_childs"/>
<ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
...
</ds:Reference>

结果 3#：（只有具有 exc-c14n <child_1/>...<child_x/> 的孩子） 没有应用摘要转换。这不是要解析的有效 XML 文件，没有单个根。但可以在 fakefile.xml 上下文中使用“节点集”。

结果（1#、2# 和 3#）是“八位字节流”吗？

因为： 除非 URI-Reference 是这样的“相同文档”引用，否则取消引用 URI-Reference 的结果必须是八位字节流。

或者它们是 XML 高级电子签名规范化所需的“XML 节点集”？

因为： (...) 特别是，由 URI 标识的 XML 文档不会被签名应用程序解析，除非 URI 是同文档引用，或者除非应用了需要 XML 解析的转换。 p>

或者（除非应用了需要 XML 解析的转换）仅在参考上下文中有效并且结果是八位字节流？

欢迎文章。

Answer 1

都是八位字节流，即二进制，但处理方式不同。

除了Reference Processing Model 部分之外，还请考虑Transforms element 部分以获得以下说明。

1：因为http://fakefile.xml 不是同一个文档引用并且：

除非 URI-Reference 是这样的“相同文档”引用，否则 取消引用 URI-Reference 的结果必须是八位字节流

由于没有转换，这个八位字节流是摘要计算的输入

2：如 1 中所述，http://fakefile.xml 不是同一个文档引用，因此转换的输入是八位字节流。

由于规范化转换 works over XML nodes，其输入必须转换为 XML 节点集，如 Reference Processing Model 部分所述：

如果数据对象是八位字节流并且下一个转换需要 一个节点集，签名应用程序必须尝试解析八位字节 通过 [XML] 格式良好的处理产生所需的节点集。

根据定义，规范化转换的输出是一个八位字节流。

3：如 1 中所述，http://fakefile.xml 不是同一个文档引用，因此转换的输入是八位字节流。

XPath 转换适用于 XML 节点，这意味着必须将八位字节流转换为节点集（在 XPath filtering 部分再次说明）。 XPath 变换的输出也是一个节点集。

下面的转换是规范化的，它需要一个 XML 节点集作为输入。由于输入/输出是链接的（Transforms element 部分）并且之前的输出已经是一个节点集，因此不需要转换。

最后，根据定义，规范化变换的输出是一个八位字节流。

---

在您的示例中，转换的输出始终是八位字节流，但例如，如果您有一个 XPath 转换，那么转换的结果是一个 XML 节点集。然后必须按照 ArchiveTimeStamp 属性定义的要求对其进行规范化。在这种情况下，您使用在 ArchiveTimeStamp 属性本身上定义的规范化算法，或 XML-DSIG 默认值（如果未指定）。

希望这会有所帮助。