XML-Signature XPath Filter 2.0

L'exemple ci-dessous illustre une façon de créer une signature avec le filtre de transformation signature. La fonction here() identifie l'élé,ent XPath, et le chemin de localisation qui donne l'ancienne Signature la plus proche. En raison de la soustraction de la valeur de l'Attribut Filtre, la sortie du filtre de transformation de la signature est un groupe de nœuds contenant chaque nœud du groupe de nœuds d'entrée à l'exception des nœuds dans le sous-arbre imbriqué par l'élément Signature contenant l'exemple de filtre de de transformation de signature ci-dessous

Une référence de signature URI appropriée à utiliser avec ce sous-filtre serait URI="" (tout le document signature, sans les commentaires), URI="#xpointer(/)" (tout le document signature, avec les commentaires) ou tout autre document de même référence qui inclut la signature elle-même.

Un exemple d'un filtre d'intersection est une signature qui cosigne une autre signature. Dans cet exemple, un élément Signature identifié par PrimaryBorrowSig doit être signée. L'expression XPath obtient le nœud d'élément, et la transformation élargit le groupe de noeud de sortie pour contenir tous les nœuds à partir du groupe de noeuds d'entrée qui sont aussi dans le sous-arbre enraciné par l'élément nœud.

   <XPath Filter="intersect"
    xmlns="http://www.w3.org/2002/06/xmldsig-filter2">
      id("PrimaryBorrowerSig")
   </XPath>

Ce type de filtre d'interesection est utile pour signer de manière efficace les sous-ensembles d'un document, s'il s'agit du même document que la signature ou un document externe. Par exemple, si la référence à la signature URI est URI="document.xml", alors ce document sera automatiquement analysé et seul l'élément identifié et ses descendants seront signés.

Les filtres additions seuls ne sont d'aucune utilité particulière: le groupe de nœuds initial se compose de l'ensemble du document en entrée; toute addition avec ce dernier n'aura aucun effet, donc, le résultat de la transformation sera identique à l'entrée. L'opération addition est destiné à suivre une opération soustraction, afin de permettre une sous-arborescence d'être supprimé, à l'exception d'une sous-arborescence inférieure qui est encore inclus dans le résultat.

Considérons le document suivant, qui contient un même document avec une signature incluant une référence et un filtre XPath contenant trois opérations XPath:

   <Document>
     <ToBeSigned>
       <!-- comment -->
       <Data />
       <NotToBeSigned>
         <ReallyToBeSigned>
           <!-- comment -->
           <Data />
         </ReallyToBeSigned>
       </NotToBeSigned>
     </ToBeSigned>
     <ToBeSigned>
       <Data />
       <NotToBeSigned>
         <Data />
       </NotToBeSigned>
     </ToBeSigned>
     <dsig:Signature
      xmlns:dsig="http://www.w3.org/2000/09/xmldsig#"
      xmlns:dsig-xpath="http://www.w3.org/2002/06/xmldsig-filter2">
       <dsig:SignedInfo>
         ...
         <dsig:Reference URI="">
           <dsig:Transforms>
             <dsig:Transform 
              Algorithm="http://www.w3.org/2002/06/xmldsig-filter2">
               <dsig-xpath:XPath Filter="intersect"> //ToBeSigned </dsig-xpath:XPath>
               <dsig-xpath:XPath Filter="subtract"> //NotToBeSigned </dsig-xpath:XPath>
               <dsig-xpath:XPath Filter="union"> //ReallyToBeSigned </dsig-xpath:XPath>
             </dsig:Transform>
           </dsig:Transforms>
           ...
         </dsig:Reference>
       </dsig:SignedInfo>
       ...
     </dsig:Signature>
   </Document>

L'opération d'intersection calcule l'intersection du sous-arbe XPath sélectionné avec le groupe de nœuds filtre. Dans ce cas, le nœud du filtre-set contient initialement tout le document d'entrée, et l'expression XPath est évaluée aux deux éléments ToBeSigned, ces éléments sont étendus pour inclure tous leurs descendants et recoupé avec le groupe de nœuds filtre, ce qui entraîne le code suivant:

     <ToBeSigned>
       <!-- comment -->
       <Data />
       <NotToBeSigned>
         <ReallyToBeSigned>
           <!-- comment -->
           <Data />
         </ReallyToBeSigned>
       </NotToBeSigned>
     </ToBeSigned><ToBeSigned>
       <Data />
       <NotToBeSigned>
         <Data />
       </NotToBeSigned>
     </ToBeSigned>

Le filtre de soustraction calcule la soustraction des sous-documents XPath-sélectionnés du filtre node-set. Dans ce cas, l'expression XPath évalue deux éléments NotToBeSigned, ces deux éléments sont étendues pour inclure tous leurs descendants et soustraite à partir du groupe de noeuds filtre:

   <ToBeSigned>
       <!-- comment -->
       <Data />
       
     </ToBeSigned><ToBeSigned>
       <Data />
      
   </ToBeSigned>

Ensuite, le filtre de l'union calcule l'union de l'expression des sous-arbres XPath sélectionné avec le groupe de noeuds filtre. Dans ce cas, l'expression XPath est évaluée à l'élément ReallyToBeSigned, c'est alors appliqué pour inclure tous ses descendants et ajouté au groupe de nœuds filtre:

   <ToBeSigned>
       <!-- comment -->
       <Data />
       <ReallyToBeSigned>
           <!-- comment -->
           <Data />
         </ReallyToBeSigned>
     </ToBeSigned><ToBeSigned>
       <Data />
      
   </ToBeSigned>

Enfin, ce groupe de noeuds filtre est utilisé pour transformer le groupe de noeuds d'entrée. Dans cet exemple, le groupe de noeuds d'entrée est l'ensemble du document, avec les commentaires supprimés. Le groupe de noeud transformé sera alors tous les nœuds du document d'entrée, moins les commentaires, qui sont aussi dans le groupe de nœuds filtre:

   <ToBeSigned>
       
       <Data />
       <ReallyToBeSigned>
           
           <Data />
         </ReallyToBeSigned>
     </ToBeSigned><ToBeSigned>
       <Data />
      
   </ToBeSigned>

Note that the result contains no nodes that were not in the input node-set. Although the filter node-set included comments, these were not present in the input node-set so they are not present in the output node-set.

Notez que le résultat ne contient pas de nœuds qui n'étaient pas dans le groupe de noeuds d'entrée. Bien que le groupe de nœuds filtre incluaient des commentaires, ils n'étaient pas présents dans le groupe de noeuds d'entrée, de telle sorte qu'ils ne sont pas présents dans le noeud de sortie.

   <dsig:Reference URI="">
     <dsig:Transforms>
       <dsig:Transform 
        Algorithm="http://www.w3.org/TR/1999/REC-xpath-19991116">
         <dsig:XPath>
           (ancestor-or-self::ToBeSigned and
            not (ancestor-or-self::NotToBeSigned))
           or ancestor-or-self::ReallyToBeSigned
         </dsig:XPath>
       </dsig:Transform>
     </dsig:Transforms>
     ...
   </dsig:Reference>

L'avantage du filtre de signature à transformer sur la transformation XPath est que ce dernier exige une évaluation d'une expression potentiellement complexe contre chaque noeud dans le système d'entrée, qui a s'est révélée coûteuse dans la pratique pour de nombreuses opérations utiles. Cette spécification du filtre est nécessaire pour l'évaluation des expressions XPath simple, puis l'exécution de certaines opérations de configuration de base ou leur équivalent, qui peut être mis en œuvre de manière beaucoup plus efficace.

XML-Signature XPath Filter 2.0

Recommandation du W3C du 08 Novembre 2002

Résumé

Statut de ce document

Table des matières

1.1. Introduction

1.1. Remerciements (Informatif)

2. Terminologie

3. Spécification de la signature Filter Transform

3.1 Algorithme d'Identification

3.2 Syntaxe de la signature Filter Transform

3.3 Contexte de l'évaluation d'entrée et de la signature Filter Transform

3.4 Traitement du modèle de signature Filter Transform

4. Exemples de signature Filter Transform/a>

5. References