PDFBox中saveIncremental与saveIncrementalForExternalSigning区别及术语咨询

我来帮你梳理下PDFBox里这几个签名相关的概念和方法区别：

1. saveIncremental 与 saveIncrementalForExternalSigning 的区别、适用场景及用途 #

• saveIncremental：这个方法是一站式完成签名流程的，你得在调用它之前就把所有签名逻辑（比如生成CMS签名字段）处理完毕。它会直接把完整的签名信息写入PDF，并且以增量更新的方式保存文件。适合本地签名场景——比如你用本地存储的数字证书直接完成签名，不需要依赖外部服务或设备时，用这个方法一步到位就很高效。
• saveIncrementalForExternalSigning：这个方法是专为外部签名需求设计的。它会先把PDF预处理成“待签名”状态，预留好签名的位置，然后返回一个ExternalSigningSupport对象。你可以通过这个对象获取到需要签名的原始内容（getContent()），将其传给外部签名服务/设备拿到签名字节后，再通过setSignature()写入，或者用代码里的延迟写入方式处理。适合签名无法在本地完成的场景——比如依赖第三方签名服务、硬件加密设备（U盾、HSM），或者私钥不在本地环境的情况。

2. 术语“incremental”（增量签名）的含义 #

增量签名是PDF签名的标准合规机制，核心就是不修改原PDF的任何内容，只在原文件的末尾追加一个新的更新段，这个段里包含签名信息和对应的修改记录。这么做的优势很明显：

• 完全保留原文件的完整性，任何人都可以验证原内容没有被篡改；
• 支持多签名叠加——后续可以继续追加新的签名，不会覆盖之前的签名内容；
• 即使签名后的文件出现问题，也能回溯到原始的PDF内容。
  对比非增量的保存方式（直接修改原文件后保存），会彻底破坏原文件的原始状态，而且多签名场景下会覆盖之前的签名，完全不符合PDF签名的规范要求。

3. 术语“external signing”（外部签名）的含义，是否仅指政府第三方机构服务？ #

外部签名指的是签名操作不在本地应用内部完成，而是将需要签名的内容（通常是哈希值，也可能是原始数据）发送到外部的系统、服务或硬件设备中生成签名，再把签名字节返回并写入PDF。
它的适用范围远不止政府提供的第三方服务，常见的场景包括：

• 政府机构的CA签名服务；
• 商业电子签名平台（比如各类契约签署平台）；
• 硬件加密设备，比如U盾、HSM（硬件安全模块），这类设备的私钥无法导出，签名必须在设备内部完成；
• 企业内部自建的专属签名服务器。

内容的提问来源于stack exchange，提问作者SoT