В найденных мною примерах (Response, AuthnRequest и LogoutRequest) тег сразу появляется внутри подписанного узла.Это просто продиктовано схемами XML?
AFAICT, в схеме SAML указано, что элемент Signature должен идти сразу после элемента Issuer: https://docs.oasis -open.org / security / saml / v2.0 / saml-schema-protocol-2.0.xsd