PDF/A-3A文档的PAdES LTV签名产生无效签名

Question

我有一个问题与数字签名PDF文件已标记为PDF/A-3A兼容。使用PDFBox（最新版本，2.0.24)最终在Adobe Acrobat中获得无效签名，而使用iText7（最新版本）获得有效签名。目标是获得符合PAdES LTV的签名。

我的流程如下（使用PDFBox和iText7):

• 打开PDF，创建用于签名的散列（要签名的数据）
• 我呼叫第三方服务以取回数字签名
• 在服务响应中，我还获得了OCSP和CRL内容，我需要嵌入到PDF中以提高LTV质量
• 我将签名嵌入到PDF中
• 我将文档保存到内存中，然后重新打开它以嵌入OCSP和CRL
• 嵌入OCSP和CRL项，创建各自的DSS和VRI词典
• 我将PDF保存到磁盘

我还注意到只要做：

document.load(inputStream);
document.save(outputStream);

我破坏了签名。从我的测试来看，实际的嵌入并不是问题的真正原因，而只是我在嵌入签名后重新打开PDF并将其保存回磁盘。

使用相同的过程（密钥、证书等），我最终在Adobe Acrobat中通过iText7获得一个有效的LTV签名。

PDDocumentInformation info = pdDocument.getDocumentInformation();
if (info != null && StringUtils.containsIgnoreCase(info.getProducer(), "Aspose")) {
try {
    pdDocument.save(inMemoryStream);
    pdDocument.close();
    pdDocument = PDDocument.load(inMemoryStream.toByteArray());
    inMemoryStream.reset();
} catch (Exception e) {

谢谢@MKL和@TilmanHausher，你是对的。假设使用某个库生成的所有文档都必须自动规范化，这不是一个好主意，因为现有的签名将会失效。最后，更好的想法是保持代码原样，并期待一个正确构造的PDF。在创建的地方修复问题。

Answer 1

问题是由原始PDF中的错误引起的。您的PDFBox代码在追加模式下签名（即在增量更新中），因此在签名版本中也存在错误。您的iText代码不在追加模式下登录，而是重写整个PDF；在这样做的时候，它不会犯与您的原始PDF生产者相同的错误，所以该错误不再出现在签名版本中。Adobe Acrobat在验证带有更新的签名时对此类问题非常敏感。

PDF中初始修订版的对照表不能分成单独的小节，但如果是原始PDF，它已经被拆分：

0 75
0000000000 65535 f
0000000018 00000 n
...
0000313374 00000 n
0000313397 00000 n
76 20
0000313419 00000 n
0000313443 00000 n
...
0000846048 00000 n
0000846175 00000 n

类似的情况已经在这个答案，这个答案，这个答案，和其他地方讨论过；您还可以在这些答案中找到一些规范参考。