如何基于Java Mail API将第三方服务生成的数字签名添加至邮件

我目前用以下代码创建并发送邮件：

JavaMailSender mailSender = emailSender(username, password);
MimeMessage mimeMessage = mailSender.createMimeMessage();
MimeMessageHelper messageHelper = new MimeMessageHelper(mimeMessage, true, "UTF-8");
messageHelper.setText(message.getText());
messageHelper.setFrom(message.getFrom());
messageHelper.setTo(message.getTo());
messageHelper.setSubject(message.getSubject());
mimeMessage.saveChanges();
mailSender.send(mimeMessage);

现在我希望为该邮件添加数字签名。原本我可以用BouncyCastle包实现，但有个限制：我使用的系统必须依赖第三方Web服务来生成数字签名——必须把邮件正文内容发送到该服务获取签名，这个流程没法改。请问有没有可行的实现思路？

当然有可行的方案！核心是把第三方服务返回的签名整合到邮件的MIME结构里，毕竟数字签名邮件本质是遵循特定格式的MIME实体。下面给你几个具体的实现思路，你可以根据业务需求选择：

思路1：简单方案——将签名作为独立附件 #

如果不需要严格遵循S/MIME标准，只是需要给收件方提供可验证的签名，这种方式最快捷：

• 先调用第三方服务，把message.getText()的纯文本内容传过去，拿到签名结果（可能是Base64字符串或二进制文件）
• 用MimeMessageHelper把签名作为附件添加到邮件中，指定正确的MIME类型：

  // 假设第三方服务返回的签名是byte[]类型的signatureBytes
  // 如果是Base64字符串，先解码：byte[] signatureBytes = Base64.getDecoder().decode(signatureStr);
  messageHelper.addAttachment("email-signature.p7s", new ByteArrayResource(signatureBytes), "application/pkcs7-signature");
  

• 发送邮件即可，收件方可以用OpenSSL这类工具，把邮件正文和签名文件一起验证。

思路2：标准方案——构建S/MIME合规的签名邮件 #

如果需要让邮件客户端（比如Outlook、Thunderbird）自动识别并验证签名，就得构建multipart/signed类型的MIME邮件，这是S/MIME签名邮件的标准格式：

1. 准备待签名的MIME正文：先把邮件正文转换成标准的MimeBodyPart，确保编码和MIME头正确
2. 获取第三方签名：把这个正文部分的原始内容（包括MIME头）发送给第三方服务，获取PKCS#7格式的签名字节流
3. 组装签名邮件结构：

   // 1. 创建正文MIME部分
   MimeBodyPart contentPart = new MimeBodyPart();
   contentPart.setText(message.getText(), "UTF-8");
   contentPart.setHeader("Content-Type", "text/plain; charset=UTF-8");
   
   // 2. 调用第三方服务获取签名（这里要确保服务接收的是正文的完整MIME内容）
   ByteArrayOutputStream contentStream = new ByteArrayOutputStream();
   contentPart.writeTo(contentStream);
   byte[] signatureBytes = thirdPartySignatureService.sign(contentStream.toByteArray());
   
   // 3. 创建签名MIME部分
   MimeBodyPart signaturePart = new MimeBodyPart();
   signaturePart.setContent(signatureBytes, "application/pkcs7-signature");
   signaturePart.setHeader("Content-Transfer-Encoding", "base64");
   
   // 4. 构建multipart/signed容器
   MimeMultipart signedMultipart = new MimeMultipart("signed");
   signedMultipart.addBodyPart(contentPart);
   signedMultipart.addBodyPart(signaturePart);
   // 指定签名算法和协议，根据第三方服务的签名算法调整（比如sha-256对应sha256WithRSAEncryption）
   signedMultipart.setHeader("Content-Type", "multipart/signed; protocol=\"application/pkcs7-signature\"; micalg=\"sha-256\"");
   
   // 5. 替换邮件内容并发送
   mimeMessage.setContent(signedMultipart);
   mimeMessage.saveChanges();
   mailSender.send(mimeMessage);
   

   关键注意点：一定要和第三方服务确认签名的输入数据格式——是纯文本正文，还是包含MIME头的完整正文实体？如果服务只接受纯文本，那直接传message.getText()即可，但要确保验证时用相同的纯文本内容。

思路3：借助BouncyCastle简化S/MIME封装 #

如果你想利用BouncyCastle处理S/MIME的细节（比如编码、头信息），但把签名逻辑替换成第三方服务，可以这么做：

• 先初始化BouncyCastle安全提供者
• 创建待签名的MimeBodyPart，用BouncyCastle工具获取待签名的原始字节流
• 调用第三方服务获取签名，再用BouncyCastle组装成合法的S/MIME签名邮件：

  // 初始化BouncyCastle
  Security.addProvider(new BouncyCastleProvider());
  
  // 创建正文部分
  MimeBodyPart contentPart = new MimeBodyPart();
  contentPart.setText(message.getText(), "UTF-8");
  
  // 获取待签名的原始数据（BouncyCastle会处理正确的MIME编码）
  ByteArrayOutputStream contentStream = new ByteArrayOutputStream();
  contentPart.writeTo(contentStream);
  byte[] contentToSign = contentStream.toByteArray();
  
  // 调用第三方服务获取PKCS#7签名
  byte[] signatureBytes = thirdPartySignatureService.sign(contentToSign);
  
  // 把签名转换成CMS SignedData对象
  CMSSignedData signedData = new CMSSignedData(signatureBytes);
  
  // 构建S/MIME签名邮件
  SMIMESignedGenerator generator = new SMIMESignedGenerator();
  MimeMultipart signedMultipart = generator.generate(contentPart, signedData, "BC");
  
  // 设置邮件内容并发送
  mimeMessage.setContent(signedMultipart);
  mimeMessage.saveChanges();
  mailSender.send(mimeMessage);
  

  这种方式能避免手动构建MIME结构时容易犯的错误，同时保留第三方签名的流程。

额外注意事项 #

• 确认第三方服务返回的签名格式：必须是PKCS#7（P7S）格式，这是S/MIME签名的标准格式
• 测试时用主流邮件客户端打开邮件，检查签名是否能被正确识别和验证
• 如果涉及HTML格式的邮件，要确保发送给第三方服务的是完整的HTML内容，避免签名和实际内容不匹配

内容的提问来源于stack exchange，提问作者SME