如何用P12/PFX证书无GUI签名Office/OpenOffice文档

核心原理说明 #

你提到的.docx等OOXML格式并非纯二进制，本质是ZIP压缩包，内部包含大量XML结构的内容文件。Office文档的数字签名基于XML-DSig扩展而来的OOXML签名规范，签名信息会嵌入到ZIP包的特定位置（如docProps/signatures.xml、_rels/.rels），Microsoft Office/OpenOffice可识别并验证这些签名。

OpenOffice的ODF格式（.odt/.ods/.odp）同样是ZIP包，签名直接基于XML-DSig规范实现，逻辑类似。

各语言实现方案 #

Java #

使用Apache生态的成熟库处理：

• OOXML（docx/xlsx/pptx）：用poi-ooxml-signature模块，是Apache POI的官方签名扩展
• ODF格式：用Apache ODF Toolkit的签名API

示例代码（OOXML签名）：

import org.apache.poi.poifs.crypt.dsig.SignatureConfig;
import org.apache.poi.poifs.crypt.dsig.SignatureInfo;
import org.apache.poi.xssf.usermodel.XSSFWorkbook;
import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.security.KeyStore;
import java.security.PrivateKey;
import java.security.cert.X509Certificate;
import java.util.Collections;

public class OOXMLSigner {
    public static void main(String[] args) throws Exception {
        // 加载PKCS#12格式的证书和私钥
        KeyStore ks = KeyStore.getInstance("PKCS12");
        ks.load(new FileInputStream("your-cert.p12"), "cert-password".toCharArray());
        PrivateKey privateKey = (PrivateKey) ks.getKey("cert-alias", "cert-password".toCharArray());
        X509Certificate cert = (X509Certificate) ks.getCertificate("cert-alias");

        // 加载目标文档
        XSSFWorkbook workbook = new XSSFWorkbook(new FileInputStream("input.docx"));

        // 配置签名参数
        SignatureConfig sigConfig = new SignatureConfig();
        sigConfig.setKey(privateKey);
        sigConfig.setSigningCertificateChain(Collections.singletonList(cert));

        // 执行签名并保存
        SignatureInfo sigInfo = new SignatureInfo();
        sigInfo.setSignatureConfig(sigConfig);
        sigInfo.sign(workbook);
        
        try (FileOutputStream fos = new FileOutputStream("signed.docx")) {
            workbook.write(fos);
        }
    }
}

Python #

推荐用pyhanko库（支持PDF和OOXML签名，封装完善），ODF格式可结合odfpy和xmlsec实现：

示例代码（OOXML签名）：

from pyhanko.sign import signers
from pyhanko_certvalidator import ValidationContext

# 加载PKCS#12证书
signer = signers.SimpleSigner.load_pkcs12(
    'your-cert.p12', passphrase=b'cert-password'
)

# 签名docx文档
with open('input.docx', 'rb') as in_file, open('signed.docx', 'wb') as out_file:
    signers.sign_ooxml(
        in_file, out_file, signer=signer,
        validation_context=ValidationContext(trust_roots=[signer.cert])
    )

PHP #

需手动处理ZIP结构和OOXML签名规范，可借助xmlsec扩展完成XML-DSig签名：

示例代码（简化版）：

<?php
// 打开docx包
$zip = new ZipArchive();
if (!$zip->open('input.docx')) {
    die("无法打开文档");
}

// 提取核心内容文件并计算哈希
$content = $zip->getFromName('word/document.xml');
$contentHash = hash('sha256', $content, true);

// 构建XML-DSig签名块（需结合xmlsec扩展完成私钥签名）
$sigDoc = new DOMDocument();
// 此处省略XML-DSig结构构建、引用内容哈希、私钥签名的细节
// 最终生成符合OOXML规范的signatures.xml内容

// 将签名文件写入docx包
$zip->addFromString('docProps/signatures.xml', $sigDoc->saveXML());
// 更新关系文件，添加签名引用（需修改_rels/.rels的XML内容）

$zip->close();
?>

也可使用现成封装库如phpoffice/phpword结合签名扩展简化开发。

ASP.NET Core #

用Microsoft官方的Open XML SDK结合System.Security.Cryptography.Xml实现：

示例代码（docx签名）：

using DocumentFormat.OpenXml.Packaging;
using System.Security.Cryptography.X509Certificates;

class OOXMLSigner
{
    static void Main()
    {
        // 加载PKCS#12证书
        var cert = new X509Certificate2("your-cert.p12", "cert-password");

        // 打开并签名文档
        using (var doc = WordprocessingDocument.Open("input.docx", true))
        {
            var signManager = new DigitalSignatureManager(doc);
            signManager.CertificateOption = CertificateOption.SignWithCertificate;
            signManager.SigningCertificate = cert;
            
            // 执行签名
            signManager.Sign();
            doc.Save();
        }
    }
}

ODF格式签名补充 #

ODT/ODS/ODP的签名核心是在ZIP包中添加META-INF/signatures.xml文件，包含XML-DSig格式的签名信息。各语言可通过操作ZIP包+XML-DSig库实现：

• Java：Apache ODF Toolkit
• Python：odfpy + xmlsec
• PHP：ZipArchive + xmlsec
• ASP.NET Core：ODF SDK + System.Security.Cryptography.Xml

关键注意事项 #

• 必须使用带私钥的X.509证书（通常为PKCS#12格式）
• 签名后需严格遵循OOXML/ODF的签名规范，否则Office/OpenOffice无法识别
• 测试时直接用Microsoft Office或OpenOffice打开文档验证签名有效性
• 部分库依赖系统加密组件（如xmlsec需安装libxmlsec1）

内容的提问来源于stack exchange，提问作者user3502626