如何正确理解 PDFBox 中数字签名对文档修改的限制

pdfbox 数字签名默认为认证签名，会禁止后续编辑；所谓“允许修改的签名”在 adobe acrobat 等主流阅读器中并不存在——任何修改均会使签名失效，且 acrobat 主动阻止非法变更。

pdfbox 数字签名默认为认证签名，会禁止后续编辑；所谓“允许修改的签名”在 adobe acrobat 等主流阅读器中并不存在——任何修改均会使签名失效，且 acrobat 主动阻止非法变更。

在使用 Apache PDFBox 对 PDF 进行数字签名时，开发者常误以为可通过配置生成一种“批准型签名（approval signature）”，从而允许收件人后续编辑文本、填写表单或添加注释，同时保持签名有效性。但这一理解与 PDF 规范及实际实现严重不符。

? 核心事实澄清

• PDF 规范中并无“可编辑的签名”类型：PDF ISO 32000 标准定义了两类签名语义：

  • 认证签名（Certification Signature）：由文档所有者施加，可设定 MDP（Modification Detection and Prevention）策略（值 1/2/3），控制哪些操作会破坏签名完整性；
  • 批准签名（Approval Signature）：仅表示签署者认可当前内容，不赋予任何修改权限，也不改变文档的可编辑性约束。

• Adobe Acrobat 的实际行为：尽管规范未强制限制，Acrobat 自 v7 起对仅含批准签名的文档实施类 MDP=3 的保护逻辑——即仅允许以下操作：

  • 填写或签署已有表单域（FillIn）；
  • 添加注释（Annotations）；
  • 数字签名（DigitalSignature）；
  • 其他任何修改（如编辑文本、插入页面、修改图像）均被明确禁止，并触发“签名已损坏”警告。

• 你的代码本质是认证签名：

  signature.setFilter(PDSignature.FILTER_ADOBE_PPKLITE);signature.setSubFilter(PDSignature.SUBFILTER_ADBE_PKCS7_DETACHED);

  此配置生成的是标准的、不可篡改的认证级签名（即使未显式调用 setCertificationLevel()）。PDFBox 默认将其视为 CERTIFIED_NO_CHANGE_PERMITTED（MDP=1），即禁止一切修改。

✅ 正确做法：按需选择签名类型与级别

若目标是支持用户后续编辑（如填写表单），应显式设置认证级别为 CERTIFIED_FORM_FILLING_AND_ANNOTATIONS（MDP=2）：

PDSignature signature = new PDSignature();signature.setFilter(PDSignature.FILTER_ADOBE_PPKLITE);signature.setSubFilter(PDSignature.SUBFILTER_ADBE_PKCS7_DETACHED);signature.setName("Testing User");signature.setLocation("Los Angeles, CA");signature.setReason("For form filling");signature.setSignDate(Calendar.getInstance());// ? 关键：启用表单填写与注释权限signature.setCertificationLevel(PDSignature.CERTIFIED_FORM_FILLING_AND_ANNOTATIONS);document.addSignature(signature, this);document.saveIncremental(output); // 必须用增量保存

⚠️ 注意事项：

• saveIncremental() 是必须的，否则签名将被覆盖失效；
• MDP=2 仍不允许修改原文本、增删页面、更改图形对象——仅限表单域值和注释；
• 若需完全开放编辑（如 Word 式自由编辑），PDF 数字签名本身不支持该场景；此时应考虑：
  ✓ 先签名 → 用户编辑 → 重新签名（放弃原始签名）；
  ✓ 使用带权限控制的 PDF/A 或 DRM 方案；
  ✓ 改用可编辑模板（如 AcroForm 表单）并在签名前预置全部交互字段。

? 总结

PDFBox 签名不是“开关式”功能，而是基于 PDF 安全模型的强完整性机制。所谓“允许修改的签名”是一个常见误解。真实世界中：

• 签名即锁定内容：任何非白名单操作都会使签名无效；
• Acrobat 是事实标准：其限制行为主导了用户预期和兼容性；
• 设计应前置：在签名前明确文档用途（只读认证？表单收集？协作批注？），再选择对应 MDP 级别或架构方案。

切勿尝试绕过签名保护——这不是 PDFBox 的缺陷，而是数字签名可信体系的基石。