基于IExternalSignature接口的PKCS11 PDF签名程序异常求助

我帮你分析下这个空指针异常的几个核心原因，以及对应的修复方案：

从异常栈来看，空指针发生在PdfPKCS7.getEncodedPKCS7()方法中，结合你的代码，主要有几个可能的触发点：证书链存在空元素、签名方法返回null、PKCS11初始化逻辑存在漏洞。

1. 证书链存在空元素导致空指针 #

你手动创建了长度为3的Certificate[] chain数组，但如果读取的证书文件里的证书数量不足3个，数组中就会出现null元素。iText在处理签名时要求证书链的每个元素都必须是有效的X.509证书，null元素会直接触发后续的空指针异常。

修复方案： #

动态根据实际读取的证书数量构建证书链，替换原来的硬编码数组：

// 替换原有的证书链构建代码
CertificateFactory factory = CertificateFactory.getInstance("X.509");
Collection<? extends Certificate> certCollection = factory.generateCertificates(new FileInputStream(certificate));
Certificate[] chain = certCollection.toArray(new Certificate[0]);

2. PKCS11签名方法可能返回null #

你的PKCS11Signature.sign()方法在捕获异常后直接返回null，而iText的signDetached方法期望签名方法返回有效的签名字节数组，null会导致PdfPKCS7在处理签名数据时触发空指针。

修复方案： #

不要在catch块里返回null，而是将异常转换为GeneralSecurityException重新抛出，让问题更早暴露，便于排查：

@Override
public byte[] sign(byte[] message) throws GeneralSecurityException {
    try {
        // 原有的签名逻辑
    } catch (IOException | CertificateException ex ) {
        // 转换异常类型抛出，避免返回null
        throw new GeneralSecurityException("PKCS11签名操作失败", ex);
    }
}

3. PKCS11 Provider重复添加与资源泄漏 #

每次调用sign()方法时，你都会重复添加BouncyCastle和PKCS11 Provider，这可能导致Provider冲突；同时ByteArrayInputStream未关闭（虽然是内存流，但不符合最佳实践）。更关键的是，每次签名都重新加载KeyStore和私钥，会降低性能且容易引发未知问题。

优化方案： #

将Provider初始化、KeyStore加载逻辑移到类的构造方法中，只执行一次：

public class PKCS11Signature implements IExternalSignature {
    private final PrivateKey pk;
    private final Provider pkcs11Provider;

    public PKCS11Signature(String password, String token, String module, Long slot) throws GeneralSecurityException, IOException {
        // 仅添加一次BouncyCastle Provider
        if (Security.getProvider(BouncyCastleProvider.PROVIDER_NAME) == null) {
            Security.addProvider(new BouncyCastleProvider());
        }

        // 构建PKCS11配置并初始化Provider
        String config = String.format("name = %s\nlibrary = %s\nslot = %d", token, module, slot);
        try (ByteArrayInputStream bais = new ByteArrayInputStream(config.getBytes())) {
            pkcs11Provider = new SunPKCS11(bais);
            if (Security.getProvider(pkcs11Provider.getName()) == null) {
                Security.addProvider(pkcs11Provider);
            }
        }

        // 加载KeyStore并获取私钥
        KeyStore ks = KeyStore.getInstance("PKCS11", pkcs11Provider);
        ks.load(null, password.toCharArray());

        Enumeration<String> aliases = ks.aliases();
        if (!aliases.hasMoreElements()) {
            throw new GeneralSecurityException("PKCS11设备中未找到可用密钥别名");
        }
        String alias = aliases.nextElement();
        pk = (PrivateKey) ks.getKey(alias, password.toCharArray());
        if (pk == null) {
            throw new GeneralSecurityException("无法从PKCS11设备获取私钥");
        }
    }

    @Override
    public String getHashAlgorithm() {
        return DigestAlgorithms.SHA256;
    }

    @Override
    public String getEncryptionAlgorithm() {
        return "RSA";
    }

    @Override
    public byte[] sign(byte[] message) throws GeneralSecurityException {
        Signature sig = Signature.getInstance("SHA256withRSA", pkcs11Provider);
        sig.initSign(pk);
        sig.update(message);
        return sig.sign();
    }
}

4. 其他需要验证的点 #

• 确认PKCS11模块路径（module参数）是否符合操作系统要求：Windows用.dll，Linux用.so，macOS用.dylib。
• 确认slot参数是否正确：部分设备slot编号从0开始，部分从1开始，可通过pkcs11-tool等工具查看设备的实际slot信息。
• 确认证书链顺序：证书链必须从用户证书开始，依次是中间CA、根CA，顺序错误会导致iText验证证书链失败。

内容的提问来源于stack exchange，提问作者jacobian