XML签名Cannot resolve element with ID XXXX 解决方案

最近同银行做接口联调，需要对XML文件做加签和解签操作，本地的开发环境是Mac 10.10，JDK的版本是1.6.0.65。小小的一段加签代码，一直报错，却久久也找不到解决方法，网上的资料非常少，错误记录如下：

 javax.xml.crypto.URIReferenceException: com.sun.org.apache.xml.internal.security.utils.resolver.ResourceResolverException: Cannot resolve element with ID FIQReq
 Exception in thread "main" java.lang.RuntimeException: javax.xml.crypto.dsig.XMLSignatureException: javax.xml.crypto.URIReferenceException: com.sun.org.apache.xml.internal.security.utils.resolver.ResourceResolverException: Cannot resolve element with ID FIQReq
 at util.xml.XMLSigner.sign(XMLSigner.java:111)
 at test.TestSign.main(TestSign.java:34)
 Caused by: javax.xml.crypto.dsig.XMLSignatureException: javax.xml.crypto.URIReferenceException: com.sun.org.apache.xml.internal.security.utils.resolver.ResourceResolverException: Cannot resolve element with ID FIQReq
 at org.jcp.xml.dsig.internal.dom.DOMReference.dereference(DOMReference.java:412)
 at org.jcp.xml.dsig.internal.dom.DOMReference.digest(DOMReference.java:338)
 at org.jcp.xml.dsig.internal.dom.DOMXMLSignature.digestReference(DOMXMLSignature.java:471)
 at org.jcp.xml.dsig.internal.dom.DOMXMLSignature.sign(DOMXMLSignature.java:367)
 at util.xml.XMLSigner.sign(XMLSigner.java:108)
 ... 1 more
 Caused by: javax.xml.crypto.URIReferenceException: com.sun.org.apache.xml.internal.security.utils.resolver.ResourceResolverException: Cannot resolve element with ID FIQReq
 at org.jcp.xml.dsig.internal.dom.DOMURIDereferencer.dereference(DOMURIDereferencer.java:124)
 at org.jcp.xml.dsig.internal.dom.DOMReference.dereference(DOMReference.java:404)
 ... 5 more
 Caused by: com.sun.org.apache.xml.internal.security.utils.resolver.ResourceResolverException: Cannot resolve element with ID FIQReq
 at com.sun.org.apache.xml.internal.security.utils.resolver.implementations.ResolverFragment.engineResolve(ResolverFragment.java:90)
 at com.sun.org.apache.xml.internal.security.utils.resolver.ResourceResolver.resolve(ResourceResolver.java:283)
 at org.jcp.xml.dsig.internal.dom.DOMURIDereferencer.dereference(DOMURIDereferencer.java:117)
 ... 6 more

唯一一个说的比较对的上的就是这篇Bug记录了：http://bugs.java.com/bugdatabase/view_bug.do?bug_id=8017171

产生该问题的原因就是无法根据XML文档节点的ID属性定位到对应的节点，所以在加签的时候会提示不能解析该ID，那么怎样才能让他可以根据我节点的ID，解析并定位到对应的节点呢，让我们先看下我项目中的代码：

首先是要进行加签的XML文件：

<?xml version="1.0" encoding="UTF-8"?>
<SoEv>
    <Message id="54b8db6c24574e23423********">
        <FIQReq id="FIQReq">
            <version>1.0.1</version>
            <instId>9550811********</instId>
            <certId>0001</certId>
            <channelDate>20150608</channelDate>
            <beginPos>0</beginPos>
            <pageNum>10</pageNum>
        </FIQReq>
    </Message>
</SoEv>

加签的代码：

 public void sign(Document doc, PrivateKey privateKey, String referenceId, Node signNode) {
         if(!isInit){
             throw new RuntimeException("XMLSigner is not init !");
         }
         try{
             //创建 <Reference> 元素，引用指定ID的节点，<Signature> 元素不会被计算在内
             Reference refToRootDoc = signFactory.newReference("#"+referenceId,
                     sha1DigMethod, Collections.singletonList(envelopedTransform), null, null);
             //创建 <SignedInfo> 元素
             SignedInfo signedInfo = signFactory.newSignedInfo(c14nWithCommentMethod,
                     rsa_sha1SigMethod, Collections.singletonList(refToRootDoc));
             //创建签名实例
             XMLSignature signature = signFactory.newXMLSignature(signedInfo, null);
             //创建签名上下文，在指定节点生成
             DOMSignContext dsc = new DOMSignContext(privateKey, signNode);
             //设置签名域命名空间前缀
             if (defaultNamespacePrefix != null) {
                 dsc.setDefaultNamespacePrefix(defaultNamespacePrefix);             }
             //签名
             signature.sign(dsc);
         }catch(Exception e){
             System.out.println(e.getMessage());
             throw new RuntimeException(e);
         }
     }

方法外传入需要做加签处理的XML文档树，私钥，需要加签节点的ID，这里就是上面XML中的FIQReq节点的ID内容(FIQReq)，还有一个节点就是加签所生成的SignedInfo的父元素，也就是要把SignedInfo节点写在那个节点下面。

这样执行这段代码就会报如上所示的错误代码。

在上面介绍的http://bugs.java.com/bugdatabase/view_bug.do?bug_id=8017171中，有这样三条解决建议：

There are 3 potential workarounds that you can apply:

1. Use a validating schema which will register the elements with ID references.

2. Register the ID elements with the DOMValidateContext.setIdAttributeNS method before validating the signature

3. Implement a custom URIDereferencer which can find these references and override the builtin URIDereferencer with the DOMValidateContext.setURIDereferencer method.

但是看起来还不是特别直观不能一下子解决该问题。但是给出了解决问题的方向，而我解决该问题的着眼点就在于第二条：

2. Register the ID elements with the DOMValidateContext.setIdAttributeNS method before validating the signature

上面介绍的加签代码虽然没有DOMValidateContext对象的参与，但是有DOMSignContext，他也有setIdAttributeNS方法，所以我们就是要在这个方法上做文章：

在上面的加签代码上加入如下两条代码即可解决该问题：

Element element = (Element)doc.getElementsByTagName(referenceId).item(0);
dsc.setIdAttributeNS(element, null, "id");

加入这两行代码后的整体代码变为：

/**
     * XML签名
     * <p>签名使用内嵌方式，生成在指定节点</p>
     * @param doc XML文档
     * @param privateKey 私钥
     * @param referenceId 需签名的元素标识
     * @param signNode 生成签名的节点
     */
    public void sign(Document doc, PrivateKey privateKey, String referenceId, Node signNode) {
        if(!isInit){
            throw new RuntimeException("XMLSigner is not init !");
        }
        try{
            //创建 <Reference> 元素，引用指定ID的节点，<Signature> 元素不会被计算在内
            Reference refToRootDoc = signFactory.newReference("#"+referenceId,
                    sha1DigMethod, Collections.singletonList(envelopedTransform), null, null);
            //创建 <SignedInfo> 元素
            SignedInfo signedInfo = signFactory.newSignedInfo(c14nWithCommentMethod,
                    rsa_sha1SigMethod, Collections.singletonList(refToRootDoc));
            //创建签名实例
            XMLSignature signature = signFactory.newXMLSignature(signedInfo, null);
            //创建签名上下文，在指定节点生成
            DOMSignContext dsc = new DOMSignContext(privateKey, signNode);
            //设置签名域命名空间前缀
            if (defaultNamespacePrefix != null) {
                dsc.setDefaultNamespacePrefix(defaultNamespacePrefix);
                Element element = (Element)doc.getElementsByTagName(referenceId).item(0);
                dsc.setIdAttributeNS(element, null, "id");
            }
            //签名
            signature.sign(dsc);
        }catch(Exception e){
            System.out.println(e.getMessage());
            throw new RuntimeException(e);
        }
    }

再次运行程序后，问题解决。

具体的加签操作指导，详见如下文档：

http://www.apihome.cn/api/java/XMLSignatureFactory.html(中文)

http://docs.oracle.com/javase/6/docs/technotes/guides/security/xmldsig/XMLDigitalSignature.html（英文，但是介绍的更详细，直接拷贝出来即可）