配置OCSP与证书后Adobe仍不识别PDF的LTV启用状态

• 校验DSS结构的规范性
  严格遵循ISO 32000-2规范构建Document Security Store：

  • OCSP响应需存入/OCSPs数组，每个响应的/CertID必须精准匹配签名证书的哈希算法、颁发者名称及序列号
  • 完整的证书链（自签名CA、签名证书）必须全部放入/Certs数组，不能缺失任何环节
  • DSS条目需直接挂载在PDF的Catalog字典下，不能嵌套在签名字典内部

• 核查OCSP响应的关键有效性
  除格式外，重点确认以下细节：

  • OCSP响应的producedAt时间需介于签名时间与当前时间的合理窗口内，Adobe对时间偏差容忍度极低
  • 响应中的responderID必须与本地OCSP服务器的证书一致，且该证书要同步加入DSS的/Certs数组
  • 确保嵌入的OCSP响应为DER编码二进制数据，禁止使用PEM编码（PDFNet仅支持DER格式）

• 配置证书信任锚
  自签名CA需被Adobe Reader信任：

  • 将自签名CA证书导入Adobe信任根列表（路径：编辑>首选项>签名>更多>信任根证书）
  • 签名证书的authorityInfoAccess扩展字段必须正确指向本地OCSP服务器URL，即使已嵌入OCSP响应，该字段仍是触发LTV验证的必要条件

• 检查PDFNet API调用逻辑
  优化代码中的LTV配置环节：

  • 读取OCSP响应和证书时，直接读取原始二进制字节（例如用FileReader读取文件流），避免字符串转码导致的数据损坏
  • 签名完成后禁止修改PDF结构，防止DSS条目被意外破坏
  • 优先使用PDFNet内置的DigitalSignatureField::EnableLTV方法自动处理LTV配置，替代手动构建DSS的方式

内容的提问来源于stack exchange，提问作者Ionut Corbu