使用ICPBR智能卡A3证书通过iText签PDF遇OCSP失败，如何跳过？

要搞定这个因目标OCSP地址未提供服务导致的签名错误，你只需要在签名流程里替换掉默认的OCSP客户端，用一个不发起实际请求的自定义实现就行。针对你用的《Digital signatures - chapter 4》里的C4_01_SignWithPKCS11HSM.java代码，具体修改步骤如下：

步骤1：创建自定义的“哑元”OCSP客户端 #

默认的OcspClientBouncyCastle会自动读取证书里的OCSP地址并发起请求，我们写一个空实现来跳过这一步：

import com.itextpdf.text.pdf.security.OcspClient;
import java.security.cert.Certificate;

OcspClient dummyOcspClient = new OcspClient() {
    @Override
    public byte[] check(Certificate checkCert, Certificate rootCert, String url) {
        // 不发起任何OCSP请求，直接返回null（iText会自动跳过OCSP验证环节）
        return null;
    }
};

步骤2：替换原代码中的OCSP客户端实例 #

找到原代码里初始化OcspClient的部分（通常是new OcspClientBouncyCastle()这样的代码），把它换成上面创建的dummyOcspClient。

比如原代码可能有这段：

OcspClient ocspClient = new OcspClientBouncyCastle();

替换后变成：

OcspClient ocspClient = dummyOcspClient;

步骤3：确保签名流程使用自定义客户端 #

确认在调用MakeSignature.signDetached()或相关签名方法时，传入的是这个自定义的OCSP客户端实例。

重要提醒 #

跳过OCSP验证会失去证书吊销状态的校验能力，请只在你确认当前使用的ICPBR证书未被吊销、且确实无法访问有效OCSP服务的场景下用这个方案。如果后续该OCSP服务恢复正常，记得改回默认的OcspClientBouncyCastle，保证签名的安全性。

内容的提问来源于stack exchange，提问作者joe go