使用PDFBox flatten方法移除XFA后，是否仍会残留JavaScript？

一、PDF中可能残留JavaScript的核心区域 #

• 文档级全局脚本：PDF根字典/Names下的/JavaScript条目，flatten操作默认不会清理这部分
• AcroForm域绑定脚本：即使移除XFA，传统表单域的/AA（动作字典）可能还保留鼠标触发、提交等JS逻辑
• 页面触发脚本：页面字典的/AA动作，比如页面加载/关闭时执行的脚本
• 注释关联脚本：注释对象的动作字典里可能藏有JS
• 嵌入附件：PDF内的附件可能包含独立JS文件，flatten不处理附件

二、PDFBox手动清理脚本的代码实现 #

如果flatten后仍有顾虑，可通过以下代码补充清理：

1. 清除文档级JavaScript

   PDDocumentCatalog catalog = document.getDocumentCatalog();
   PDDocumentNameDictionary nameDict = catalog.getNames();
   if (nameDict != null) {
       nameDict.setJavaScript(null);
   }
   

2. 清理所有表单域的动作脚本

   PDAcroForm acroForm = catalog.getAcroForm();
   if (acroForm != null) {
       for (PDField field : acroForm.getFields()) {
           clearFieldActions(field);
       }
   }
   
   // 递归清理子域
   private static void clearFieldActions(PDField field) {
       field.setActions(null);
       if (field instanceof PDNonTerminalField) {
           for (PDField child : ((PDNonTerminalField) field).getChildren()) {
               clearFieldActions(child);
           }
       }
   }
   

3. 移除页面级触发脚本

   for (PDPage page : document.getPages()) {
       page.setActions(null);
   }
   

4. 删除所有注释（含关联脚本）

   for (PDPage page : document.getPages()) {
       page.setAnnotations(null);
   }
   

5. 移除所有嵌入附件

   PDEmbeddedFilesNameTreeNode embeddedFiles = catalog.getEmbeddedFiles();
   if (embeddedFiles != null) {
       catalog.setEmbeddedFiles(null);
   }
   

三、验证脚本是否完全清理 #

• 用PDFBox遍历PDF的字典结构，检查/JavaScript、/AA等关键字是否还存在
• 用Adobe Acrobat打开PDF，通过「工具→JavaScript→文档JavaScript」确认无残留脚本
• 以二进制模式打开PDF文件，搜索JS、JavaScript字符串，排查遗漏

内容的提问来源于stack exchange，提问作者PuliAIEngineer