2

Estou tentando restringir o Authentication Context XML Schema Definition da especificação SAML 2.0. O documento XSD está disponível em aqui.

A parte que eu estou tentando restringir é uma relacionada a esta parte do XSD original:

<xs:complexType name="PasswordType">
  <xs:sequence>
    <xs:element ref="Length" minOccurs="0"/>
    <xs:element ref="Alphabet" minOccurs="0"/>
    <xs:element ref="Generation" minOccurs="0"/>
    <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>
  </xs:sequence>
  <xs:attribute name="ExternalVerification" type="xs:anyURI" use="optional"/>
</xs:complexType>

<xs:element name="RestrictedPassword" type="RestrictedPasswordType"/>

<xs:complexType name="RestrictedPasswordType">
  <xs:complexContent>
    <xs:restriction base="PasswordType">
      <xs:sequence>
        <xs:element name="Length" type="RestrictedLengthType" minOccurs="1"/>
        <xs:element ref="Generation" minOccurs="0"/>
        <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>
      </xs:sequence>
      <xs:attribute name="ExternalVerification" type="xs:anyURI" use="optional"/>
    </xs:restriction>
  </xs:complexContent>
</xs:complexType>

Bem, eu não sei como restringir o tipo complexo RestrictedPassword. Abaixo está o meu XSD, que tenta restringir o XSD original.

<?xml version="1.0" encoding="UTF-8"?>

<xs:schema version="2.0"
       targetNamespace="urn:m:SAML:2.0:ac:classes:K"
       xmlns:xs="http://www.w3.org/2001/XMLSchema"
       xmlns="urn:m:SAML:2.0:ac:classes:K"           
       finalDefault="extension"
       blockDefault="substitution">

<xs:redefine schemaLocation="http://docs.oasis-open.org/security/saml/v2.0/saml-schema-authn-context-types-2.0.xsd">    

    <xs:complexType name="RestrictedPasswordType">
        <xs:complexContent>
            <xs:restriction base="RestrictedPasswordType">
                <xs:sequence>
                    <xs:element ref="Length" minOccurs="0"/>
                    <xs:element ref="Generation"/>
                    <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>
                </xs:sequence>
                <xs:attribute name="ExternalVerification" type="xs:anyURI" use="optional"/>
            </xs:restriction>
        </xs:complexContent>
    </xs:complexType>

</xs:redefine>    
</xs:schema>

Quando eu tento validar este XSD nessa ferramenta, ela me retorna um erro, que eu não sei o que nem como arrumar. O erro é o seguinte:

-- Not valid. Error - Line 12, 51: org.xml.sax.SAXParseException; lineNumber: 12; columnNumber: 51; rcase-Recurse.2: There is not a complete functional mapping between the particles. Error - Line 12, 51: org.xml.sax.SAXParseException; lineNumber: 12; columnNumber: 51; derivation-ok-restriction.5.4.2: Error for type 'RestrictedPasswordType'. The particle of the type is not a valid restriction of the particle of the base. –
2
  • Você poderia dar mais detalhes sobre o erro que você mencionou.
    – Lucas Lima
    Commented 17/02/2014 às 21:40
  • Olá Lucas. Segue o erro mencionado. -- Not valid. Error - Line 12, 51: org.xml.sax.SAXParseException; lineNumber: 12; columnNumber: 51; rcase-Recurse.2: There is not a complete functional mapping between the particles. Error - Line 12, 51: org.xml.sax.SAXParseException; lineNumber: 12; columnNumber: 51; derivation-ok-restriction.5.4.2: Error for type 'RestrictedPasswordType'. The particle of the type is not a valid restriction of the particle of the base. Commented 18/02/2014 às 13:08

1 Resposta 1

0

Todas as instâncias do novo tipo devem também ser válidas para o tipo base. Mas no seu esquema é possível definir um RestrictedPasswordType que não tem um atributo Length attribute (minOccurs="0"), que seria ilegal para o tipo base, que tem minOccurs="1". Tornar um elemento opcional não é uma restrição.

Remover minOccurs='0' de Generation é legal porque ter pelo menos um elemento é uma restrição.

Além disso sua restrição referencia o elemento Length que não é o mesmo que o elemento Length definido no tipo base. O elemento Length é um LengthType de acordo com o esquema base, e o elemento Length do tipo base é um RestrictedLengthType que é uma restrição de LengthType.

Acredito que se você mudar a declaração <xs:element> da sua redefinição para:

<xs:element name="Length" type="RestrictedLengthType" minOccurs="1"/>

deve funcionar, a menos que haja outros problemas.

EDIT: os outros problemas:

Como um novo elemento Length está sendo declarado no bloco <complexType>, ele precisa ser declarado como "qualified" caso contrário ele não será parte do targetNamespace e a restrição irá falhar. Para consertar isto você pode:

  • Adicionar um atributo form="qualified" ao <xs:element name="Length" ... />, ou
  • Adicionar um atributo elementFormDefault="qualified" ao elemento`.

Mais informação aqui:

8
  • Olá, concordo contigo. Mudei o XSD como sugerido, e agora eu tenho o seguinte erro (que é o mesmo erro de antes): Not valid. Error - Line 12, 51: org.xml.sax.SAXParseException; lineNumber: 12; columnNumber: 51; rcase-Recurse.2: There is not a complete functional mapping between the particles. Error - Line 12, 51: org.xml.sax.SAXParseException; lineNumber: 12; columnNumber: 51; derivation-ok-restriction.5.4.2: Error for type 'RestrictedPasswordType'. The particle of the type is not a valid restriction of the particle of the base. Commented 18/02/2014 às 13:14
  • Estou vendo que o documento original que você lincou não declara um targetNamespace. Já no esquema derivado ele é declarado. Um esquema derivado não pode ser de um targetNamespace diferente do original. Experimente remover os atributos xmlns e targetNamespace do seu esquema. Commented 18/02/2014 às 13:36
  • Funcionou. Tirei o xmlns e targetNamespace e funcionou. Contudo, há outros documentos similares ao meu, que definem um xmlns e targetNamespace diferente do original, e estes são válidos. Um exemplo seria esse aqui [docs.oasis-open.org/security/saml/v2.0/… . Sabe me dizer por quê? Commented 18/02/2014 às 14:54
  • A restrição quanto ao namespace está na spec "3 One of the following must be true: 3.1 SII has a targetNamespace [attribute], and its ·actual value· is identical to the ·actual value· of the targetNamespace [attribute] of SII’ (which must have such an [attribute]). 3.2 Neither SII nor SII’ have a targetNamespace [attribute]. 3.3 SII has no targetNamespace [attribute] (but SII’ does)." mas pode haver alguma exceção que eu não esteja a par. Commented 18/02/2014 às 15:19
  • Ah. Estou vendo um problema aqui. A definição do elemento Length precisa ser marcada com o atributo form="qualified" ou não irá ser incluído no targetNamespace. Deve ser esse o problema. Em vez do atributo no elemento, você pode usar elementFormDefault="qualified" em <xs:schema> que é melhor. Você pode manter suas declarações de namespace, desde que use elementFormDefault="qualified" Commented 18/02/2014 às 15:22

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .