XML数字签名验证必须用xmlsec库，因其底层调用系统级XMLSec支持规范化、URI解析等关键步骤；需显式传入公钥证书，且须确保系统依赖（如libxmlsec1）已安装。
XML数字签名验证的核心是用公钥解密签名值，再比对摘要
Python本身不内置XML签名验证能力，必须依赖第三方库。最成熟可靠的是 xmlsec —— 它是C语言实现的libxml2/libxslt生态绑定，底层调用系统级XMLSec库，支持RSA、DSA、ECDSA等主流算法和Enveloped/Enveloping/Detached三种签名形式。别试图用纯Python的lxml或xml.etree手动解析签名节点并验签，那会漏掉规范要求的规范化（Canonicalization）、引用URI解析、XPath过滤等关键步骤，极易被绕过。
安装xmlsec前必须确认系统级依赖已就绪
xmlsec Python包只是绑定层，实际验签由本地libxmlsec1完成。在Linux/macOS上缺失底层库会导致ImportError: libxmlsec1.so: cannot open shared object file或Library not loaded: libxmlsec1.1.dylib。Windows用户务必使用预编译wheel（如pip install xmlsec自动匹配），避免从源码编译失败。
- Ubuntu/Debian：
sudo apt-get install libxmlsec1-dev libxmlsec1-openssl - macOS（Homebrew）：
brew install libxmlsec1 - Windows：直接
pip install xmlsec（推荐Python 3.8+，避免VC++版本冲突）
装完后运行python -c "import xmlsec; print(xmlsec.__version__)"能输出版本号才算成功。
用xmlsec.verify()验证带签名的XML文件
典型场景是验证一个含<signature></signature>节点的XML文档（例如SAML断言、电子发票）。关键点在于：必须提供签名所用的公钥（X.509证书或PEM格式公钥），且XML中<keyinfo></keyinfo>里的<x509certificate></x509certificate>不能替代它——xmlsec默认不自动提取证书，需显式传入。
立即学习“Python免费学习笔记（深入）”；
import xmlsec
from lxml import etree
<p>def verify_xml_signature(xml_path, cert_path):</p><div class="aritcle_card flexRow">
<div class="artcardd flexRow">
<a class="aritcle_card_img" href="/xiazai/skill11354" title="Python Pep Authoring"><img
src="https://img.php.cn/upload/skill/001/246/273/6adaf20e695c2374.jpg" alt="Python Pep Authoring" ></a>
<div class="aritcle_card_info flexColumn">
<a href="/xiazai/skill11354" title="Python Pep Authoring">Python Pep Authoring</a>
<p>依据官方 python/peps仓库规则起草、审阅、编辑或准备 Python 改进提案（PEP），用于处理 PEP 文本和元数据头部。</p>
</div>
<a href="/xiazai/skill11354" title="Python Pep Authoring" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
</div>
</div><h1>加载并解析XML</h1><pre class='brush:php;toolbar:false;'>with open(xml_path, "rb") as f:
doc = etree.parse(f)
# 查找Signature节点（必须指定命名空间）
signature_node = doc.xpath('//ds:Signature', namespaces={'ds': 'http://www.w3.org/2000/09/xmldsig#'})[0]
# 加载证书（支持PEM格式的.crt或.pem文件）
with open(cert_path, "rb") as f:
cert_data = f.read()
# 执行验证
is_valid = xmlsec.verify(signature_node, cert_data)
return is_valid调用示例
if verify_xml_signature("signed_invoice.xml", "public_key.pem"): print("签名有效") else: print("签名无效或证书不匹配")
注意：xmlsec.verify()返回True仅表示签名值与摘要匹配且公钥能解密，不校验证书有效期、吊销状态或信任链。如需完整PKI验证，得额外集成cryptography或pyOpenSSL做证书链校验。
Detached签名和自定义URI解析容易出错
当签名是Detached类型（即<reference uri="document.pdf"></reference>指向外部二进制文件）时，xmlsec默认不会自动加载URI指向的文件。必须注册自定义URI读取器，否则报错failed to load document。
import xmlsec
from lxml import etree
<p>def custom_uri_reader(uri, ctx=None):
if uri == "document.pdf":
with open("document.pdf", "rb") as f:
return f.read()
raise ValueError(f"Unknown URI: {uri}")</p><h1>注册读取器</h1><p>xmlsec.set_default_urireader(custom_uri_reader)</p><h1>后续调用verify()即可处理Detached签名</h1>另一个常见坑：XML中<reference uri=""></reference>（空URI）表示对整个文档签名，但某些生成工具会写成URI="#"或URI="#id123"。此时必须确保目标节点有对应Id属性且命名空间正确，否则xmlsec找不到被签名数据而失败。
真正难的不是调用API，而是理解XML签名规范里那些隐式行为——比如Enveloped签名必须先剥离<signature></signature>节点再计算摘要，这个剥离动作由xmlsec内部完成，但如果你手动删了节点再喂给它，就会双重剥离导致验签失败。
