在Itext 7中，如何用2个步骤签署pdf？

Question

按照上一个问题中给出的答案：在Itext 7中，如何让范围流对pdf进行签名？，我尝试重新实现在Itext 5中工作的两步签名方法，但在尝试重新打开第一步的文档结果时遇到问题（使用PdfReader或pdf阅读器）。（无效文档）

以下是已包含名为“认证”的空签名字段的文档的预签名部分...为什么此步骤的结果无效？

PdfReader reader = new PdfReader(fis);
Path signfile = Files.createTempFile("sign", ".pdf");
FileOutputStream os = new FileOutputStream(signfile.toFile());
PdfSigner signer = new PdfSigner(reader, os, false);
signer.setFieldName("certification"); // this field already exists
signer.setCertificationLevel(PdfSigner.CERTIFIED_FORM_FILLING);
PdfSignatureAppearance sap = signer.getSignatureAppearance();
sap.setReason("Certification of the document");
sap.setLocation("On server");
sap.setCertificate(maincertificate);
BouncyCastleDigest digest = new BouncyCastleDigest();
PdfPKCS7 sgn = new PdfPKCS7(null, chain, hashAlgorithm, null, digest,false);
 //IExternalSignatureContainer like BlankContainer
PreSignatureContainer external = new    PreSignatureContainer(PdfName.Adobe_PPKLite,PdfName.Adbe_pkcs7_detached);
signer.signExternalContainer(external, 8192);
byte[] hash=external.getHash();
byte[] sh = sgn.getAuthenticatedAttributeBytes(hash, null, null,PdfSigner.CryptoStandard.CMS);// sh will be sent for signature

这是PreSignatureContainer类：

public class PreSignatureContainer implements IExternalSignatureContainer {

private PdfDictionary sigDic;
private byte hash[];


public PreSignatureContainer(PdfName filter, PdfName subFilter) {

    sigDic = new PdfDictionary();
    sigDic.put(PdfName.Filter, filter);
    sigDic.put(PdfName.SubFilter, subFilter);
}

@Override
public byte[] sign(InputStream data) throws GeneralSecurityException {
    String hashAlgorithm = "SHA256";
    BouncyCastleDigest digest = new BouncyCastleDigest();

    try {
    this.hash= DigestAlgorithms.digest(data, digest.getMessageDigest(hashAlgorithm));
    } catch (IOException e) {
        throw new GeneralSecurityException("PreSignatureContainer signing exception",e);
    }

    return new byte[0];
}

@Override
public void modifySigningDictionary(PdfDictionary signDic) {
    signDic.putAll(sigDic);

}

public byte[] getHash() {
    return hash;
}

public void setHash(byte hash[]) {
    this.hash = hash;
}

}

Answer 1

为什么这一步的结果无效

因为你基本上发现了一个错误…；）

您的示例输入文件具有一个触发 bug 的功能：它使用对象流进行压缩。

当iText处理这样的文件时，它还会尝试将尽可能多的对象放入对象流中。不幸的是，签名字典也是如此。这很不幸，因为在写入整个文件后，它试图将一些信息（以前不可用的）输入到这个字典中，这会损坏压缩对象流。

你可以选择

• 等待iText开发来解决这个问题-我认为这不会花太长时间，但您可能没有时间等待；或
• 将文件转换为不使用对象流的形式进行签名-这可以使用iText本身来完成，但您可能无法接受这意味着的文件增长，或者可能已经签名的文件禁止任何此类转换；或
• 补丁iText7以强制签名字典不被添加到对象流中-这是一个微不足道的补丁，但您可能不想使用补丁库

上面提到的补丁确实是微不足道的，方法< code>PdfSigner.preClose(Map

if (certificationLevel > 0) {
    // add DocMDP entry to root
    PdfDictionary docmdp = new PdfDictionary();
    docmdp.put(PdfName.DocMDP, cryptoDictionary.getPdfObject());
    document.getCatalog().put(PdfName.Perms, docmdp); // TODO: setModified?
}

document.close();

< code > crypto dictionary . getpdf object())就是我上面提到的签名字典。在< code>document.close()过程中，它被添加到对象流中，除非它以前已经被写入输出。因此，您只需在< code>close调用之前添加一个调用来刷新该对象，并通过参数表明它不应被添加到对象流中:

cryptoDictionary.getPdfObject().flush(false);

有了该补丁，您的代码返回的PDF就不会再像上面那样损坏了。

顺便说一句，iText 5确实在相应的签名中包含类似的行。