Apache FOP 2.7生成PDF含漏洞关联ICC元数据移除方案咨询

你遇到的ICC元数据反复出现的问题有两个核心诱因：

• 之前用PDFBox仅遍历删除页面资源下的ICCBased对象存在遗漏：FOP生成PDF时，嵌入的Little CMS ICC配置不只存放在页面资源字典中，还可能存在于文档级资源、嵌入图片XObject的私有资源字典、透明度组/扩展图形状态的色彩空间定义里，只删页面级条目无法彻底清除所有引用。
• 手动移除[/ICCBased 2 0 R]标签后签名环节元数据复现，是因为你使用的Web端CAdES签名服务存在默认逻辑：当检测到待签名PDF未明确指定标准RGB色彩空间时，会自动注入默认的Little CMS 2.3.0 sRGB配置文件，并非之前的删除操作无效。

直接修改FOP配置，从根源阻止它嵌入默认ICC配置，同时指定使用设备原生色彩空间，让后续签名环节不会触发自动补全逻辑：

1. 新建自定义FOP配置文件fop-config.xml，添加如下配置关闭默认色彩管理嵌入：

<fop version="1.0">
  <renderers>
    <renderer mime="application/pdf">
      <filterList>
        <value>flate</value>
      </filterList>
      <!-- 核心配置：不嵌入默认sRGB ICC，直接使用设备原生色彩空间 -->
      <color-management>
        <disable-srgb-icc>true</disable-srgb-icc>
        <default-cmyk-color-space use-device-cmyk="true"/>
        <default-rgb-color-space use-device-rgb="true"/>
      </color-management>
    </renderer>
  </renderers>
</fop>

2. 初始化FopFactory时加载该自定义配置，代码示例：

FopFactory fopFactory = FopFactory.newInstance(new File("fop-config.xml"));

该配置会让FOP生成PDF时直接使用DeviceRGB/DeviceCMYK设备色彩空间，完全不嵌入任何ICCBased对象，从根源避免Little CMS元数据出现，同时生成的PDF自带明确的色彩空间标识，不会触发签名环节自动补ICC的逻辑。

如果暂时不能调整FOP启动配置，需要修改之前的PDFBox清理代码，不要只遍历页面资源，要递归遍历所有PDF对象，清除所有ICCBased引用，同时显式设置默认色彩空间为DeviceRGB，避免签名环节补全：

try (PDDocument document = PDDocument.load(new File("original.pdf"))) {
    // 1. 清理文档级资源的ICC
    if (document.getDocumentCatalog().getResources() != null) {
        removeICCFromResources(document.getDocumentCatalog().getResources());
    }
    // 2. 遍历所有页面，清理页面、页面内XObject、扩展图形状态的ICC
    for (PDPage page : document.getPages()) {
        removeICCFromResources(page.getResources());
        // 清理页面透明度组的ICC
        COSDictionary groupDict = page.getCOSObject().getCOSDictionary(COSName.getPDFName("Group"));
        if (groupDict != null) {
            groupDict.removeItem(COSName.getPDFName("CS"));
            groupDict.setItem(COSName.getPDFName("CS"), COSName.DEVICERGB);
        }
    }
    // 3. 显式设置文档默认RGB色彩空间为DeviceRGB，避免签名服务自动补ICC
    document.getDocumentCatalog().getCOSObject().setItem(
        COSName.getPDFName("DefaultRGB"), COSName.DEVICERGB
    );
    document.save("cleaned.pdf");
}

// 递归清理资源下所有ICC，包括XObject、扩展图形状态内嵌套的资源
private void removeICCFromResources(PDResources resources) throws IOException {
    // 清理当前层级的色彩空间
    for (COSName csName : resources.getColorSpaceNames()) {
        PDColorSpace cs = resources.getColorSpace(csName);
        if (cs instanceof PDICCBased) {
            resources.getCOSObject().removeItem(csName);
        }
    }
    // 清理所有XObject（嵌入图片、表单）内嵌套的资源
    for (COSName xobjName : resources.getXObjectNames()) {
        PDXObject xobj = resources.getXObject(xobjName);
        if (xobj instanceof PDFormXObject) {
            PDFormXObject form = (PDFormXObject) xobj;
            form.getCOSObject().setItem(COSName.getPDFName("CS"), COSName.DEVICERGB);
            if (form.getResources() != null) {
                removeICCFromResources(form.getResources());
            }
        }
        if (xobj instanceof PDImageXObject) {
            PDImageXObject img = (PDImageXObject) xobj;
            img.getCOSObject().setItem(COSName.getPDFName("CS"), COSName.DEVICERGB);
        }
    }
    // 清理扩展图形状态内的ICC
    for (COSName gsName : resources.getExtGStateNames()) {
        PDExtendedGraphicsState gs = resources.getExtGState(gsName);
        if (gs.getCOSObject().containsKey(COSName.getPDFName("CS"))) {
            gs.getCOSObject().setItem(COSName.getPDFName("CS"), COSName.DEVICERGB);
        }
    }
}

注意：清理完成后不要只删除ICCBased对象，一定要显式把所有色彩空间引用替换为DeviceRGB，否则PDF缺少明确色彩空间标识，还是会触发签名环节自动注入默认ICC配置的逻辑。

之前用ImageMagick的-strip参数处理图片无效是正常的：这个元数据不是来自嵌入图片的元数据，是FOP和签名环节主动写入的PDF级色彩配置，和图片本身的EXIF/ICC信息无关。

内容的提问来源于stack exchange，提问作者user311174