使用iText7实现PDF LTV签名：能否混合OCSP与CRL？

我正在尝试使用iText7对PDF签名时启用LTV，为此需要在签名中添加OCSP或CRL。但问题在于，我仅拥有签名者证书的OCSP，而根CA并未提供自身证书的OCSP。由于CRL响应通常体积较大（可达数MB且会随时间增大），我希望尽可能避免使用CRL，因此想咨询：是否可以使用签名者证书的OCSP搭配CA证书的CRL来启用LTV？

• 完全可以采用这种混合搭配的方式。LTV的核心要求是为整个证书信任链的每一级证书提供有效的撤销状态证明，OCSP和CRL作为两种标准的撤销验证手段，在链的不同层级可以交叉使用，只要每一级都能覆盖到就行。
• 具体到你的场景：用签名者证书的OCSP来证明签名者证书未被撤销，用CA证书（包括根CA或中间CA）的CRL来证明对应CA证书的有效性，这样就能构建出完整的LTV信任证据链，满足PDF签名的LTV启用要求。
• 在iText7的实现中，你可以通过LtvVerification类来分别嵌入获取到的OCSP响应和CRL文件。需要注意的是，无论用OCSP还是CRL，都要确保获取的响应是未过期且签名合法有效的，否则会导致LTV验证失败。
• 额外补充：如果根CA是行业公认的可信自签名根证书，部分验证环境可能默认信任其有效性而无需提供撤销证明，但为了确保在所有场景下的兼容性（比如无预设信任的第三方验证），还是建议补充根CA的CRL（在没有OCSP的前提下）。

内容的提问来源于stack exchange，提问作者giangnt15