PDF数字签名覆盖范围解析

PDF数字签名与ByteRange的解析

在处理PDF文件的数字签名时，一个常见的问题是确定签名具体覆盖了文档的哪些页面。虽然直观上可能认为签名会覆盖一个特定的页面范围，但根据PDF规范（ISO 32000-2）和实际的验证器行为，情况远比这复杂，且通常意味着更广泛的覆盖。

PDF数字签名通过签名字典中的ByteRange条目来定义其所保护的数据范围。ByteRange是一个整数对数组（起始字节偏移量，字节长度），它精确描述了用于摘要计算的字节范围。多个不连续的字节范围可以用来描述不包含签名值（Contents条目）本身的摘要计算。

示例：使用PDFBox获取签名信息和ByteRange

在使用PDFBox这类库时，我们可以轻松访问签名字典及其ByteRange。

import org.apache.pdfbox.pdmodel.PDDocument;
import org.apache.pdfbox.pdmodel.interactive.digitalsignature.PDSignature;

import java.io.File;
import java.io.IOException;

public class SignatureByteRangeReader {

    public static void main(String[] args) {
        String filePath = "path/to/your/signed_document.pdf"; // 替换为你的PDF文件路径

        try (PDDocument document = PDDocument.load(new File(filePath))) {
            for (PDSignature signature : document.getSignatureDictionaries()) {
                System.out.println("--- 发现签名 ---");
                System.out.println("签名名称: " + signature.getName());
                System.out.println("签名日期: " + signature.getSignDate());
                System.out.println("签名类型: " + signature.getSubFilter());

                // 获取ByteRange
                int[] byteRange = signature.getByteRange();
                if (byteRange != null && byteRange.length > 0) {
                    System.out.print("ByteRange: [");
                    for (int i = 0; i < byteRange.length; i++) {
                        System.out.print(byteRange[i]);
                        if (i < byteRange.length - 1) {
                            System.out.print(", ");
                        }
                    }
                    System.out.println("]");
                    // 注意：ByteRange本身不直接提供页码信息，而是字节偏移量和长度。
                    // 其解释需要结合PDF规范。
                } else {
                    System.out.println("ByteRange: 未找到或为空");
                }
            }
        } catch (IOException e) {
            System.err.println("读取PDF文件时发生错误: " + e.getMessage());
            e.printStackTrace();
        }
    }
}

从上述代码中获取到的ByteRange是一组字节偏移量和长度，它描述了被签名的数据在文件中的位置。然而，这些字节范围本身并不能直接告诉我们“签名覆盖了第X页到第Y页”。要理解页面覆盖，我们需要深入了解PDF签名的规范和常见实现。

数字签名对整个文档修订版本的覆盖

尽管ByteRange在理论上允许对PDF的任意部分进行签名，但在实际应用中，尤其是对于符合互操作性标准的数字签名，它几乎总是覆盖整个文档的修订版本。

1. 规范要求（PAdES等）：对于特定的签名子过滤器，如ETSI.CAdES.detached或ETSI.RFC3161（即PAdES签名和文档时间戳），规范明确要求ByteRange必须覆盖整个PDF文件，包括签名字典本身，但不包括Contents值（即签名容器占位符）。这意味着，这些高级别的数字签名天生就是覆盖整个文档的。

2. 通用建议与验证器行为：即使对于不强制要求全文档覆盖的签名类型，PDF规范也普遍建议（"should"）ByteRange应覆盖整个PDF文件，包括签名字典，但不包括签名值本身。更重要的是，像Adobe Acrobat这样的主流PDF验证器，即使对于非PAdES签名，也通常要求签名覆盖整个文件。如果签名未覆盖整个文件，Adobe Acrobat可能会将其视为无效或发出警告。

因此，一个有效的、符合互操作性标准的PDF数字签名，实际上总是覆盖了该签名被添加时文档的整个修订版本，即当时文档中的所有页面。

增量更新与页面修改的限制

PDF文件的一个特性是允许通过“增量更新”（Incremental Updates）来修改文档，而无需重写整个文件。这意味着在文档被签名后，可以在不破坏现有签名加密完整性的情况下，向文件末尾追加新的内容。

然而，这并不意味着可以随意修改或添加页面：

• 作者签名（Author Signature）的限制：如果第一个签名是“作者签名”（Author Signature），它可以限制后续增量更新所允许的修改类型。例如，作者签名可以禁止添加或删除页面。即使允许填写表单，通常也不允许任意添加或删除页面。
• 主流验证器的行为：即使第一个签名不是严格意义上的作者签名，而是一个标准的批准签名，像Adobe Acrobat这样的主流验证器也会施加类似于最宽松作者签名的权限限制，通常不允许在已签名的PDF中任意添加或删除页面。

因此，在一个带有有效数字签名的PDF中，所有页面都被视为已签名。这要么是由于规范（如存在作者签名），要么是由于主流验证器的默认行为。

特殊情况：页面模板

存在一种特殊情况，即PDF可能包含所谓的“页面模板”（Page Templates）。这些模板在文档中是存在的，但默认情况下是不可见的。在文档被签名后，如果原始签名允许表单填写等交互操作，这些模板页可以通过“实例化”（spawning）操作而变得可见。

由于这些模板页面在文档被签名时就已经存在于原始的PDF修订版本中，从广义上讲，它们也被视为已签名的一部分。当它们被实例化并变得可见时，它们实际上是原始已签名内容的一个展示。

如果需要严格区分“签名时可见的页面”和“通过增量更新或模板实例化后才变得可见的页面”，则不能仅仅依赖于原始的ByteRange信息。在这种情况下，需要进一步分析增量更新的内容，检查是否有新的可见页面被添加，或者是否有隐藏的模板页面被实例化。

总结

对于PDF数字签名，理解其页面覆盖范围的关键在于认识到：

1. ByteRange定义的是字节范围，而非直接的页码范围。
2. 有效且符合互操作性标准的PDF数字签名（尤其是PAdES），通常覆盖签名添加时文档的整个修订版本，即所有页面。
3. 增量更新允许在签名后修改文档，但通常不能随意添加或删除页面，这受到作者签名或主流验证器行为的限制。
4. 页面模板是特例，它们在签名时已存在于文档中，即使后期实例化可见，也仍被视为已签名内容的一部分。

因此，当使用PDFBox或其他工具检查数字签名时，通常无需尝试从ByteRange中提取具体的“页面范围”，因为在绝大多数有效签名场景下，它都意味着对整个文档修订版本的覆盖。如果您的需求涉及识别增量更新中新增的可见内容，则需要进行更深入的文档结构分析。