OpenSAML（2.0）EntitiesDescriptor签名验证不起作用

Question

我不知道如何将错误记录到Shibboleth项目中，因此我将写一些OpenSAML签名验证遇到的发现。 与OpenSAML（2.0）尝试验证SAML元数据（EntitiesDescriptor）中的签名的方式有关的问题。

我试图使用FilesystemMetadataProvider拼命地验证SAML元数据结构中的签名，但是它始终使我抛出NullPointerException。 其他地方还有其他有关此问题的文章，但似乎没人知道其确切原因。

现在我首先尝试的是这样的：

FilesystemMetadataProvider provider = new FilesystemMetadataProvider(new File("metadata.xml"));
provider.setRequireValidMetadata(true);
provider.setParserPool(new BasicParserPool());
provider.initialize();
EntitiesDescriptor ed = provider.getEntitiesDescriptor("My Servers");
SignatureValidator validator = new SignatureValidator(getTrustedCredential());
validator.validate(ed.getSignature());

这总是不断抛出异常：

org.opensaml.xml.signature.SignatureValidator.validate处的java.lang.NullPointerException（SignatureValidator.java:69）

在围绕XMLTooling和OpenSAML类进行了一些调试之后，我找到了导致错误的原因。 问题似乎在于在org.opensaml.xml.signature.impl.SignatureImpl类中处理XMLSignature的方式：

public void releaseDOM() {
  super.releaseDOM();
  **this.xmlSignature = null;**
  if (this.keyInfo != null) {
    this.keyInfo.releaseChildrenDOM(true);
    this.keyInfo.releaseDOM();
  }
}

public XMLSignature getXMLSignature() {
  return this.xmlSignature;
}

public void setXMLSignature(XMLSignature signature) {
  this.xmlSignature = ((XMLSignature)prepareForAssignment(this.xmlSignature, signature));
}

现在，SignatureValidator按setXMLSignature（）-> releaseDOM（）-> getXMLSignature（）的顺序运行这些方法，这无法验证EntitiesDescriptor。 但是，对于其他签名类型，这似乎还可以。

作为一种解决方法，我设法通过两种方法来验证签名：

1）对SignatureImpl类进行反向工程，并删除“ this.xmlSignature = null;” 从releaseDOM（）方法

2）使用XML解析和解组来重新实现签名验证（如下所示）

File file = new File("metadata.xml");
DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setNamespaceAware(true);
DocumentBuilder db = dbf.newDocumentBuilder();
Document document = db.parse(file);
UnmarshallerFactory unmarshallerFactory = Configuration.getUnmarshallerFactory();
Unmarshaller unmarshaller = unmarshallerFactory.getUnmarshaller(document.getDocumentElement());
EntitiesDescriptor ed = (EntitiesDescriptor) unmarshaller.unmarshall(document.getDocumentElement());
SignatureValidator validator = new SignatureValidator(getTrustedCredential());
validator.validate(ed.getSignature());

有人看到过这个问题吗？

Answer 1

如何提交错误等： https ： //shibboleth.net/community/

您不需要对其进行反向工程，可以使用OpenSAML源： http ://svn.shibboleth.net/view/java-opensaml2/trunk/src

OpenSAML源存储库具有涵盖其大部分代码库的单元测试。 在这里您可以学习如何使用该库。 例如，对元数据的签名验证被封装到SignatureValidationFilter类中。 这是一个向您展示如何使用它的单元测试： http : //svn.shibboleth.net/view/java-opensaml2/trunk/src/test/java/org/opensaml/saml2/metadata/provider/SignatureValidationFilterTest.java

从此单元测试中，您可以看到他们使用SAMLSignatureProfileValidator作为Validator的实现。 它比普通的SignatureValidator更复杂。

尝试SignatureValidationFilter。 如果仍然无法使用，请在此处发布您的元数据。