sign.go

package gokalkan

import (
	"encoding/base64"
	"encoding/xml"
	"regexp"
	"strings"

	"github.com/ncanode-kz/gokalkan/ckalkan"
)

// Sign подписывает данные и возвращает CMS с подписью.
func (cli *Client) Sign(data []byte, isDetached, withTSP bool) (signature []byte, err error) {
	dataB64 := base64.StdEncoding.EncodeToString(data)
	flags := ckalkan.FlagSignCMS | ckalkan.FlagInBase64 | ckalkan.FlagOutBase64

	if withTSP {
		flags |= ckalkan.FlagWithTimestamp
	}

	if isDetached {
		flags |= ckalkan.FlagDetachedData
	}

	signatureB64, err := cli.kc.SignData("", dataB64, "", flags)
	if err != nil {
		return nil, err
	}

	return base64.StdEncoding.DecodeString(signatureB64)
}

// AddSigner дописывает ещё одну подпись в уже существующий CMS (со-подпись).
// Для этого перед вызовом обычно нужно загрузить другой ключ через LoadKeyStore.
// Существующие подписи (и их метки времени) не затрагиваются - TSP (если withTSP)
// прикладывается только к новой подписи.
func (cli *Client) AddSigner(cms, data []byte, isDetached, withTSP bool) (signature []byte, err error) {
	cmsB64 := base64.StdEncoding.EncodeToString(cms)
	dataB64 := base64.StdEncoding.EncodeToString(data)
	flags := ckalkan.FlagSignCMS | ckalkan.FlagInBase64 | ckalkan.FlagIn2Base64 | ckalkan.FlagOutBase64

	if withTSP {
		flags |= ckalkan.FlagWithTimestamp
	}

	if isDetached {
		flags |= ckalkan.FlagDetachedData
	}

	signatureB64, err := cli.kc.SignData(cmsB64, dataB64, "", flags)
	if err != nil {
		return nil, err
	}

	return base64.StdEncoding.DecodeString(signatureB64)
}

// SignXML подписывает данные в формате XML.
func (cli *Client) SignXML(xmlData string) (string, error) {
	return cli.kc.SignXML(xmlData, "", 0, "", "", "")
}

// SignWSSE подписывает документ в формате WS-Security (SmartBridge). xmlData -
// содержимое soap:Body (не полный конверт, конверт строится автоматически).
func (cli *Client) SignWSSE(xmlData, id string) (string, error) {
	soapEnvelope := WrapWithWSSESoapEnvelope(xmlData, id)

	signed, err := cli.kc.SignWSSE(soapEnvelope, "", 0, id)
	if err != nil {
		return "", err
	}

	return fixWSSENativeQuirks(signed), nil
}

//nolint:gochecknoglobals
var wsseKeyInfoIDRe = regexp.MustCompile(`(<ds:KeyInfo) Id="[^"]*"`)

// fixWSSENativeQuirks исправляет две особенности вывода нативной SignWSSE,
// которые не влияют на корректность самой подписи (Reference покрывает только
// Body, см. URI="#id"), но ломают строгий разбор конверта в некоторых
// WS-Security стеках (например SAAJ, как в эталонной Java-реализации
// NCANode - без этой правки verify падает с NOT_FOUND_ERR):
//
//   - жёстко захардкоженный префикс "SOAP-ENV" у вставленного библиотекой
//     <Header> переписывается на "soap" - тот же, что в конверте (см.
//     WrapWithWSSESoapEnvelope);
//   - атрибут Id="ki-..." на <ds:KeyInfo> убирается: судя по всему, SAAJ
//     трактует произвольный "Id"-атрибут как ID-тип и путает разрешение
//     узлов при поиске wsse:SecurityTokenReference, если такой атрибут
//     присутствует на KeyInfo (найдено эмпирически при сверке с оракулом).
func fixWSSENativeQuirks(xml string) string {
	xml = strings.Replace(xml, `<SOAP-ENV:Header xmlns:SOAP-ENV="`+xmlnsSOAP+`">`, "<soap:Header>", 1)
	xml = strings.Replace(xml, "</SOAP-ENV:Header>", "</soap:Header>", 1)
	xml = wsseKeyInfoIDRe.ReplaceAllString(xml, "$1")

	return xml
}

const (
	xmlnsSOAP = "http://schemas.xmlsoap.org/soap/envelope/"
	xmlnsWSU  = "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd"

	replaceKey = "replace-this"
)

// soapEnvelope представляет soap:Envelope
type soapEnvelope struct {
	XMLName xml.Name `xml:"soap:Envelope"`
	SOAP    string   `xml:"xmlns:soap,attr"`
	WSU     string   `xml:"xmlns:wsu,attr"`
	Body    soapBody `xml:"soap:Body"`
}

// soapBody представляет soap:Body
type soapBody struct {
	ID      string `xml:"wsu:Id,attr"`
	Content string `xml:",chardata"`
}

// WrapWithWSSESoapEnvelope оборачивает XML документ в SOAP формат, а точнее записывает
// содержимое под тегом soap:Body
func WrapWithWSSESoapEnvelope(dataXML, id string) (result string) {
	envelope := soapEnvelope{
		SOAP: xmlnsSOAP,
		WSU:  xmlnsWSU,
		Body: soapBody{
			ID:      id,
			Content: replaceKey,
		},
	}

	b, err := xml.Marshal(envelope)
	if err != nil {
		return result
	}

	result = strings.Replace(string(b), replaceKey, dataXML, 1)

	return result
}