Question

我有一个使用SAML身份验证的应用程序，充当SP，因此解析SAMLResponses。我收到通知，告知与我的应用程序通信的IdP现在将开始使用http://www.w3.org/2001/10/xml-exc-c14n#WithComments签署其SAMLResponses，这意味着在计算SAML签名的有效性时注释很重要。

这就是问题所在 - 我用于XML解析的库默认剥离这些注释节点。请参阅此示例程序：

import org.apache.commons.io.IOUtils;
import org.w3c.dom.Document;
import org.w3c.dom.NodeList;

import javax.xml.parsers.DocumentBuilder;
import javax.xml.parsers.DocumentBuilderFactory;

public class Main {

    public static void main(String[] args) {
        try {
            String xml = "<NameID>test@email<!---->.com</NameID>";
            DocumentBuilderFactory documentBuilderFactory = DocumentBuilderFactory.newInstance();
            documentBuilderFactory.setNamespaceAware(true);
            DocumentBuilder documentBuilder = documentBuilderFactory.newDocumentBuilder();
            Document doc = documentBuilder.parse(IOUtils.toInputStream(xml));
            NodeList nodes = doc.getElementsByTagName("NameID");

            if (nodes == null || nodes.getLength() == 0)
            {
                throw new RuntimeException("No NameID in document");
            }

            System.out.println(nodes.item(0).getTextContent());

        } catch(Exception e) {
            System.err.println(e.getMessage());
        }
    }
}

因此，该程序将打印test@email.com（这意味着我的SAML代码也将获得）。这是一个问题，因为我很确定如果没有包含注释，它将导致签名验证失败，因为XML文档是使用#WithComments规范化方法签名的。

有没有办法让DocumentBuilder / getTextContent()留在评论节点中，这样我的签名就不会被遗漏的评论无效？

getTextContent()的文档位于：https://docs.oracle.com/javase/7/docs/api/org/w3c/dom/Node.html#getTextContent()

Answer 1

您的代码实际上保留了评论。

这里稍作修改：

Module m = Loader.createInstance("ModuleK");

打印public static void main(String[] args) throws Exception { String xml = "<NameID>test@email.com</NameID>"; DocumentBuilderFactory documentBuilderFactory = DocumentBuilderFactory.newInstance(); documentBuilderFactory.setNamespaceAware(true); DocumentBuilder documentBuilder = documentBuilderFactory.newDocumentBuilder(); Document doc = documentBuilder.parse(new ByteArrayInputStream(xml.getBytes(StandardCharsets.UTF_8))); NodeList childNodes = doc.getDocumentElement().getChildNodes(); Node[] nodes = new Node[childNodes.getLength()]; for (int index = 0; index < childNodes.getLength(); index++) { nodes[index] = childNodes.item(index); } System.out.println(nodes[1].getTextContent()); }。（Run it on Ideone。）

根元素有3个子节点，其中一个是注释节点。所以它实际上是保留的。

如何使用Java的DocumentBuilder获取XML注释

1 个答案: