PDF数字签名的原理及正确使用方法（含多平台操作方案）

一、核心原理 #

PDF数字签名基于非对称加密技术实现三大核心功能：

• 身份真实性：用仅你持有的私钥签署文件，其他人可通过对应的**公钥（证书）**验证你的身份
• 文件完整性：签名会绑定文件哈希值，一旦文件被篡改，签名立即失效
• 不可抵赖性：私钥唯一且不可伪造，签署行为无法被否认
  签名信息会嵌入PDF文件内部，包含证书、签署时间、哈希值等关键数据，无需额外附件。

二、正确使用的核心原则 #

• 用可信证书：优先选择官方CA（如Adobe、国密CA）颁发的实名认证证书，避免自签名证书（可能不被政务/医疗系统认可）
• 签署前确认内容：务必逐页核对医疗文件内容，签名后无法修改（强行修改会导致签名失效）
• 保护签名密钥：证书文件（.pfx/.p12）或USB密钥需设置强密码，避免泄露
• 签署后验证：完成签名后立即验证有效性，确保操作成功

三、多平台操作步骤 #

1. OpenSUSE Tumbleweed（GUI优先） #

方案A：Evince（GNOME默认PDF查看器）

• 安装依赖：打开终端执行 zypper install evince poppler-data pcsc-lite（支持USB密钥需装pcsc-lite）
• 准备证书：从Adobe Acrobat导出你的实名认证数字ID（保存为.pfx/.p12格式），或插入USB密钥
• 签署流程：
  1. 用Evince打开目标医疗文件
  2. 点击顶部菜单「文档」→「添加数字签名」
  3. 拖动鼠标在页面上绘制签名区域
  4. 在弹出窗口选择你的证书（USB密钥需输入PIN码），点击「签名」
  5. 选择保存路径完成操作

方案B：LibreOffice Draw

• 打开文件：用LibreOffice Draw打开PDF（注意：复杂格式文件可能略有排版变化，需提前确认）
• 签署流程：
  1. 点击顶部菜单「插入」→「签名」→「数字签名」
  2. 在弹出窗口选择证书，设置签名位置
  3. 完成后点击「文件」→「导出为」→「PDF」，勾选「保留数字签名」后导出

2. Windows端Adobe Acrobat #

• 打开文件：用Acrobat Pro/Reader打开医疗文件
• 签署流程：
  1. 点击右侧面板「填写和签署」→「签名」→「添加签名」
  2. 选择「使用已有的数字ID」，直接关联你的实名认证Acrobat账号，或导入.pfx证书
  3. 拖动签名框到指定位置，确认后完成签署
  4. 保存文件（建议选择「另存为」避免覆盖原文件）

3. USB密钥（跨平台通用） #

• 前置准备：插入USB密钥，Linux下确保安装pcsc-lite驱动，Windows下一般自动识别
• 签署流程：
  1. 在对应平台的签名工具中（Evince/Acrobat）选择「USB令牌/智能卡」作为证书来源
  2. 输入USB密钥的PIN码
  3. 按照工具提示完成签名区域设置和签署操作

四、省级医疗文件专属注意事项 #

• 优先选择Adobe实名认证数字ID或官方医疗系统认可的CA证书，确保签名被政务系统承认
• 签署后保存为PDF/A-2格式（Acrobat和Evince均支持），保证文件长期可验证
• 备份签署后的文件到加密U盘、本地硬盘等多个安全位置，避免丢失
• 验证签名：签署后立即右键点击签名区域，选择「验证签名」，确认显示「签名有效」「身份已验证」

内容的提问来源于stack exchange，提问作者Ul Tome