PDFBOX验证篡改PDF签名有效但Acrobat提示篡改的排查方法

当使用PDFBOX的ShowSignature.java验证签名时出现Acrobat判定文件篡改但PDFBOX验证成功的情况，可从以下几个方向排查：

1. 核对签名字节范围与实际文件修改 #

签名的/ByteRange定义了PDF中被签名覆盖的字节区间，Acrobat会严格检查区间外的修改是否符合权限要求，而PDFBOX可能仅验证区间内字节的签名有效性：

• 通过PDSignature.getByteRange()获取字节范围数组（格式通常为[0, offset1, offset2, length2]），验证offset1 + length2是否等于文件总字节数（中间未覆盖部分为签名值本身）。
• 对比当前文件与签名时的原始文件，检查ByteRange覆盖的字节是否存在未被允许的修改；若有增量更新（如添加注释、表单数据），需确认是否在签名的权限配置范围内。

2. 校验PKCS#7签名容器的完整性 #

Acrobat对PKCS#7容器的验证标准更严格，需重点检查：

• 提取签名的PKCS#7数据（PDSignature.getContents()），转换为CMSSignedData后，检查证书链是否完整（是否缺失中间证书）。PDFBOX可能仅验证签名本身的正确性，而Acrobat会拒绝不完整的证书链。
• 若签名包含时间戳，检查时间戳服务器的证书是否可信、时间戳的有效期是否合法。Acrobat会强制校验时间戳有效性，PDFBOX默认可能跳过该环节。

3. 检查签名权限配置的合规性 #

签名的/DocMDP或/Perms字典定义了签名后允许的修改操作，Acrobat会严格校验这些权限：

• 查看签名的/DocMDP字典，确认是否允许签名后的增量修改。若未配置允许修改，任何后续修改都会被Acrobat判定为篡改，但PDFBOX可能仅检查签名覆盖字节的完整性，忽略权限校验。
• 对比原始文件与当前文件的AcroForm、注释结构，确认是否存在签名后新增的未授权内容。

4. 调整PDFBOX的验证参数 #

PDFBOX默认的验证逻辑可能跳过部分Acrobat强制检查的项，需修改ShowSignature.java补充校验：

• 开启证书吊销状态检查（CRL/OCSP），默认情况下PDFBOX未启用该功能，而Acrobat会自动校验：

  // 示例代码：添加吊销检查
  CertStore certStore = CertStore.getInstance("Collection", new CollectionCertStoreParameters(certChain), "BC");
  PKIXParameters params = new PKIXParameters(trustAnchors);
  params.addCertStore(certStore);
  params.setRevocationEnabled(true);
  

• 强制校验/DigestMethod与/DigestValue的匹配性，确保摘要算法和计算结果符合PDF规范。

5. 检查PDF文件结构的合规性 #

Acrobat对PDF结构的完整性要求更高，轻微的结构损坏可能被判定为篡改：

• 使用PDFBOX的PDFValidator工具验证文件的结构合规性，检查是否存在交叉引用表错误、对象流损坏等问题。
• 对比原始文件与当前文件的对象结构，确认是否存在异常的对象修改或缺失。

内容的提问来源于stack exchange，提问作者Rajat Gaur