如何实现Web Service中XML文件的加密传输及签名？

本文共计929个文字，预计阅读时间需要4分钟。

验签失败通常不是算法问题，而是XML规范化（Canonicalization）未对齐。服务端和客户端使用的CanonicalizationMethod不一致，例如一方用InclusiveNamespaces而另一方未声明，节点顺序、空白字符、命名空间前缀等存在差异，导致整个SignatureValue完全不同。

• 务必确认双方使用的规范算法一致，常见的是http://www.w3.org/2001/10/xml-exc-c14n#（排除命名空间的C14N）
• 签名前先用工具（如xmlsec1 --c14n）对原始XML做一次规范化输出，和服务端日志里的输入比对，看是否字节级一致
• 避免在签名范围内动态插入xmlns属性——很多SOAP库会在序列化时自动补全，导致客户端签的和服务器收到的不一致

Web Service里该用WS-Security还是手动加解密

如果用的是传统SOAP栈（如Java CXF、.NET WCF），直接启用WS-Security是更稳的选择；它把签名、加密、时间戳、令牌绑定等都封装好了，不用自己拼EncryptedData或管理KeyInfo结构。手动实现容易漏掉ReferenceList或错配EncryptionMethod算法标识。