La validazione della firma XML è il processo di verifica che una firma digitale copra davvero l'esatto dato XML di cui un'applicazione si fiderà. In protocolli come SAML, questo non è solo un controllo crittografico: il verificatore deve confermare il corretto elemento firmato, il destinatario o audience atteso e il periodo di validità del messaggio. Se uno qualsiasi di questi controlli è troppo permissivo, un sistema può accettare una firma che appartiene a un elemento XML mentre legge un altro elemento.
Questo è importante perché gli aggressori spesso prendono di mira il divario tra la verifica della firma e la logica dell'applicazione. Negli attacchi di tipo signature wrapping, l'XML firmato rimane valido, ma viene presentato al parser un elemento modificato o duplicato, così che il servizio consumi l'asserzione sbagliata. Una validazione difensiva usa un controllo rigoroso dei riferimenti, un parsing XML rafforzato, regole di canonicalizzazione e un binding esplicito della fiducia, così che l'applicazione accetti solo il contenuto previsto. Se eseguita correttamente, la validazione della firma XML aiuta a prevenire bypass dell'autenticazione, abuso di sessione e altri fallimenti della fiducia nei sistemi di accesso federato.