XML签名验证前须先确认签名是否内嵌：若为enveloped需检查节点存在且ID属性（如Id）已注册；detached则需单独加载签名文件；验证后还需校验证书链、时间戳及防重放。
XML签名验证前先确认签名是否内嵌在文档中
XML数字签名（XMLDSig）常见两种形式：一种是签名信息直接嵌入原始XML（enveloped signature），另一种是签名与XML分离（detached signature）。服务器端校验前必须先判断结构——否则 javax.xml.crypto.dsig.XMLSignature（Java）或 xmlsec1（命令行）会因找不到 节点而报 NullPointerException 或 Signature not found。
- 检查XML是否含
子树，且该节点在文档内（非外部引用） - 若签名在独立文件中（如
invoice.xml+invoice.xml.sig），需用detached模式加载，不能直接解析原XML - 注意命名空间前缀可能不是
ds（如dsig、xades），但URI必须匹配标准：http://www.w3.org/2000/09/xmldsig#
Java中用Apache Santuario验证enveloped签名要绕过默认ID解析陷阱
Java原生 XMLSignature 对 Id 属性识别不敏感，默认只认 id 小写属性。而实际XML常使用 Id（首字母大写）或自定义属性名（如 xml:id）。若签名引用了 ，但验证时找不到该节点，就会失败。
- 必须显式注册
IdAttribute：调用signature.getElement().setIdAttribute("Id", true) - 若用
org.apache.santuario:xmlsec，推荐用XMLSignatureInput手动绑定被签名节点，避免依赖自动ID查找 - 验证前务必调用
signature.validate(validateContext)并检查返回的boolean，不要只捕获异常——部分无效签名会静默通过
Document doc = DocumentBuilderFactory.newInstance().newDocumentBuilder().parse(new InputSource(inputStream));
NodeList sigNodes = doc.getElementsByTagNameNS(XMLSignature.XMLNS, "Signature");
if (sigNodes.getLength() == 0) throw new IllegalArgumentException("No Signature found");
XMLSignature signature = new XMLSignature((Element) sigNodes.item(0), "");
signature.getElement().setIdAttribute("Id", true); // 关键：声明Id属性可被引用
boolean isValid = signature.validate(new DOMValidateContext(publicKey, doc.getDocumentElement()));
Python用lxml和xmlsec命令行验证时证书链必须完整
仅提供签名者公钥（public.pem）不足以验证可信来源——服务器需确认该公钥所属证书是否由可信CA签发，且未被吊销。常见错误是只校验签名数学有效性，却忽略证书信任链。
