已添加数字签名证书的PDF加密后能否保留有效证书？

我有一个用于加密PDF的函数，代码如下：

import org.apache.pdfbox.pdmodel.PDDocument;
import org.apache.pdfbox.pdmodel.encryption.AccessPermission;
import org.apache.pdfbox.pdmodel.encryption.StandardProtectionPolicy;

public String encrypt(String base64File, String password) {
    
        byte[] file = Base64.getDecoder().decode(base64File.getBytes());

        PDDocument document = PDDocument.load(file);

        StandardProtectionPolicy spp = new StandardProtectionPolicy(password, password, new AccessPermission());

        document.protect(spp);

        var byteArrayOutputStream = new ByteArrayOutputStream();

        document.save(byteArrayOutputStream);

        document.close();

        return new String(Base64.getEncoder().encode(byteArrayOutputStream.toByteArray())); 
    }

问题：当传入带有数字签名证书的PDF时，加密后内容显示正常，但证书失效。请问是否可以实现加密后保留有效证书？

核心结论 #

直接对已完成数字签名的PDF执行加密操作，无法保留原签名的有效性。这是由数字签名的工作机制决定的：数字签名本质是对PDF文件的特定哈希值进行加密验证，任何修改PDF内容或底层结构的操作（包括加密）都会改变原文件的哈希值，导致签名验证失败。

代码导致签名失效的原因 #

你当前的PDFBox加密流程会彻底改写原PDF的字节结构：

• 加载已签名PDF到内存后，document.protect(spp)会重新构建PDF的加密体系，修改文件的内部布局和字节排列
• 最终输出的加密PDF和原签名绑定的原始文件哈希完全不一致，因此签名会被判定为无效

可行的处理方案 #

如果需要同时实现PDF加密和有效数字签名，必须调整操作顺序：

1. 先对未签名的原始PDF执行加密操作
2. 再对加密后的PDF进行数字签名

如果已经有了已签名的PDF，想要添加加密保护，唯一不破坏原签名的折中方式是：将已签名PDF作为附件嵌入到一个新的加密PDF中。这样原签名PDF的完整性不受影响，外层PDF可提供加密权限控制。

内容的提问来源于stack exchange，提问作者newuser123123