使用TCPDF生成带数字签名PDF时证书无效问题咨询

你需要使用受全球主流信任根机构颁发的PDF专用数字签名证书（或通用代码签名证书），而非自签名证书或网站SSL证书，原因如下：

• 自签名证书：无第三方权威机构背书，默认会被Adobe Acrobat等PDF阅读器标记为不可信，必须手动添加信任才能验证，不适合面向客户的场景。
• 网站SSL证书：这类证书的核心用途是加密网站通信，其证书扩展的「密钥用法」「扩展密钥用法」字段不包含PDF签名所需的nonRepudiation（不可否认）和digitalSignature（数字签名）权限，因此即便为公共信任证书，用于PDF签名仍会被判定无效。

正确的证书选择需满足以下要求：

1. 由公共信任根机构颁发（如DigiCert、GlobalSign、Sectigo等），确保阅读器默认信任根包含该机构。
2. 证书的密钥用法必须包含digitalSignature和nonRepudiation。
3. 证书的扩展密钥用法需包含Adobe PDF Signing（专用OID：1.2.840.113583.1.1.5）或Code Signing（通用代码签名OID：1.3.6.1.5.5.7.3.3）。
4. 证书主体信息需匹配你的企业/组织身份，避免阅读器显示身份未知提示。

使用这类证书生成PDF签名后，客户的PDF阅读器会自动验证证书链有效性，不会弹出「认证无效」提示，无需手动添加信任。

内容的提问来源于stack exchange，提问作者Mircea T