SignatureUtil#signatureCoversWholeDocument()返回false的解读、未覆盖内容排查及签名安全性验证

我来帮你拆解这个问题——SignatureUtil#signatureCoversWholeDocument返回false在PDF签名场景里其实挺常见，咱们一步步来理清楚：

为什么会返回false？ #

PDF签名分两种常见场景：

• 一种是一次性签署完整文档：此时签名覆盖整个PDF的字节内容，这个方法会返回true。
• 另一种是增量签名或签名后允许合法修改：比如签名后添加了注释、填写了表单字段，或者后续又加了新的签名（PDF支持多签名）。这些操作会在原文档基础上追加字节内容，而原签名只覆盖到签名时刻的文档范围，所以这个方法就会返回false。

如何找到未被签名覆盖的部分？ #

你可以通过签名的**字节范围（Byte Range）**来定位未被覆盖的内容，这是PDF签名标准里定义的核心字段：

1. 使用SignatureUtil获取签名的字节范围：

SignatureUtil sigUtil = new SignatureUtil(new PdfReader("your-document.pdf"));
String sigName = sigUtil.getSignatureNames().get(0); // 取第一个签名（多签名场景下可遍历）
PdfSignature signature = sigUtil.getSignature(sigName);
int[] byteRange = signature.getByteRange();

2. 解析字节范围的含义：
   • byteRange是一个长度为4的数组：[start1, length1, start2, length2]
   • 签名覆盖的是从0到start1+length1，以及start2到start2+length2的字节（后者一般是签名本身的内容）
   • 未被覆盖的部分就是start1+length1到start2之间的字节区间
3. 你可以把这部分字节提取出来，用PDF解析工具（比如iText的底层API）查看内容，判断是合法的增量内容（比如注释、表单数据）还是其他修改。

有没有可能恶意修改未覆盖部分还保持签名有效？ #

分两种情况：

• 合法允许的修改：如果签名在创建时设置了允许特定操作（比如允许填写表单、添加注释），那么修改这些允许的部分，签名依然会验证通过——这是PDF签名的设计特性，方便文档协作。
• 恶意篡改核心内容：如果有人修改了签名覆盖范围外的文档核心内容（比如正文文字、图片），正规的签名验证（比如sigUtil.verifySignature(sigName)）会直接返回false，因为PDF签名会验证覆盖范围内的哈希值，一旦核心内容被改，哈希不匹配，签名就失效了。

不过要注意：极少数情况下可能存在PDF结构漏洞，但主流的签名库（比如iText）都会做严格的完整性校验，这种情况概率极低。

如何确认不存在安全隐患？ #

按这几步来排查：

• 第一步：先执行完整的签名验证，确保sigUtil.verifySignature(sigName)返回true——如果这一步失败，说明签名本身已经被篡改，直接判定不安全。
• 第二步：提取未覆盖的字节内容，解析其类型：
  • 如果是表单字段数据、注释、新的签名块，属于合法增量内容，没问题。
  • 如果是正文修改、图片替换等核心内容，那即使签名验证通过，也要警惕（可能是库的验证漏洞，或者签名设置了错误的权限）。
• 第三步：检查签名的权限设置：

PdfPKCS7 pkcs7 = sigUtil.verifySignature(sigName);
SignaturePermissions permissions = new SignaturePermissions(pkcs7, signature);
System.out.println("允许填写表单：" + permissions.isAllowFillIn());
System.out.println("允许添加注释：" + permissions.isAllowAnnotations());

如果未覆盖的内容是权限允许的操作，那完全安全；如果内容不在允许范围内但签名仍有效，建议换更高版本的签名库重新验证，或者手动对比原文档（如果有的话）的差异。

内容的提问来源于stack exchange，提问作者Abid