PHP中如何将RFC 3161时间戳信息存储到PDF文件中

首先明确：RFC3161可信时间戳绝对不会存储在作者、关键词这类普通PDF元数据字段中，这种存法无法通过Adobe Acrobat的可信校验，完全不具备合规效力。

核心实现逻辑（与Adobe Acrobat、Xolido桌面端处理逻辑完全一致） #

整个流程和桌面端的处理步骤没有区别，核心是严格遵循PDF 1.7+ 签名规范和RFC3161标准，不要自己随意定义存储位置：

• 第一步：预处理原始PDF字节，提前在文件中预留出足够存放时间戳令牌的签名槽位，计算哈希时必须排除该槽位的占位字节——这也是加戳后文件和原PDF存在结构差异的核心原因，整个过程不会修改原始PDF的已有业务内容。
• 第二步：对预处理得到的待校验字节做密码学哈希，按RFC3161规范构造时间戳请求包，发送到选定的TSA服务（比如freetsa这类公开服务），拿到TSA返回的合法签名响应（包含权威时间、TSA签名值、完整证书链）。
• 第三步：将TSA返回的时间戳令牌写入之前预留的签名槽位，补全PDF的结构引用，保证阅读器能正常识别解析。

时间戳在PDF内部的实际存储位置 #

时间戳属于PDF规范定义的签名类对象，和普通元数据完全独立：

• 时间戳最终存储在PDF的**签名字典（Signature Dictionary）**中，归属于文档根目录（Catalog）下的/AcroForm交互表单节点的签名字段集合，通常以增量更新的形式追加在PDF文件末尾，不会改动原始文件的已有字节。
• 纯文档级RFC3161时间戳的二进制令牌，会直接存放在对应签名字典的/Contents条目中，同时该签名字典的/SubFilter字段必须设置为/ETSI.RFC3161，Adobe等阅读器才会将其识别为可信时间戳，配套的哈希算法标识、TSA证书链会存在同字典的/Cert等对应字段中。
• 如果是给已有的数字签名补盖时间戳，时间戳令牌会嵌入到对应签名的/UnsignedAttrs未签名属性节点下，不会破坏原有数字签名的有效性。

Adobe Acrobat添加时间戳时的具体修改操作 #

桌面端的操作没有黑魔法，完全是按PDF规范执行结构修改：

• 全程不改动原始PDF的已有内容字节，所有新增内容都以增量更新块的形式追加在文件尾部，从根源上避免破坏原文件完整性。
• 检查文档根目录是否存在/AcroForm节点，不存在则自动创建，然后新增一个类型为/Sig的签名对象，标记为文档时间戳类型，写入对应的过滤器、子过滤器标识。
• 提前为/Contents字段填充足够长度的0值占位字节，计算整份文档哈希时自动跳过该占位段，避免后续写入实际时间戳数据后哈希校验不通过。
• 拿到TSA响应后，将占位字节替换为实际的时间戳令牌二进制数据，嵌入TSA返回的完整证书链，减少阅读器校验时的联网依赖。
• 更新PDF尾部的交叉引用表和文件尾指针，确保所有新增对象都能被阅读器正确索引解析。

Laravel侧落地注意事项 #

• 不要手动拼接修改PDF字节结构，直接选用明确支持RFC3161文档时间戳的PDF操作类库处理底层字节逻辑，避免因为字节计算错误导致时间戳校验失败。
• 不要尝试把时间戳数据写入/Info字典下的普通元数据字段，这种操作只是把时间戳当普通文本存储，阅读器完全不会识别为可信时间戳，过不了等保、电子合同类的合规校验。
• 开发完成后必须用Adobe Acrobat打开生成的文件做校验，确认阅读器能正常识别可信时间戳、显示时间戳颁发机构信息、无“签名损坏”“信任链无效”类报错，才算达到合规要求。

内容的提问来源于stack exchange，提问作者Jonathan Ma