如何判断XADES签名是否符合QSCD合规要求

QSCD（合格签名创建设备）合规的核心是签名生成环节使用符合监管标准的加密硬件/设备，针对XADES签名的合规性判断，可结合你提到的几个维度逐一验证：

• XML签名节点记录：部分合规的XADES签名会在<SignedSignatureProperties>等子节点中嵌入QSCD相关元数据（如设备合规标识、声明信息），这是直接的判断依据之一，但并非所有合规签名都会显式记录该信息，需结合其他维度交叉验证。
• 签名证书属性：签名证书可能携带QSCD相关的X.509扩展字段（如EIDAS规范下的特定OID），可提取<X509Certificate>节点内的公钥证书，解析其扩展属性来确认证书是否标记为QSCD生成。
• CA证书链属性：中间CA或根CA需具备QSCD合规的签发资质，其证书中会包含对应的合规标识，整个证书链的合规性是签名合规的必要前提，必须验证链上所有CA的资质是否符合要求。
• 合规名单校验：多数监管区域（如欧盟）会维护官方QSCD合规名单，签名证书、中间CA及根CA需被列入该名单，这是合规性验证的关键环节，仅靠证书或签名节点的属性无法完全确认合规性，必须匹配官方发布的合规名单。

各类专业签名验证工具均可实现QSCD合规检测，其逻辑与Adobe Acrobat Reader中PADES签名的验证逻辑类似——通过解析签名元数据、校验证书链属性并比对官方合规名单，最终给出是否符合QSCD要求的结论。

内容的提问来源于stack exchange，提问作者Matt