使用Poppler的pdfsig工具验证PDF签名时，如何安装受信任证书解决证书颁发者不被信任问题

我懂你现在的困扰——用Poppler的pdfsig验证PDF签名时，明明签名本身是有效的，却一直提示「Certificate issuer isn't Trusted」，关键是一开始还看不到颁发者是谁，太闹心了对吧？我来一步步帮你搞定这个问题。

第一步：先搞清楚证书颁发者到底是谁 #

你已经用到了pdfsig -dump yourfile.pdf这个命令，这步是对的！不过可能输出内容太杂，你可以用过滤命令快速定位颁发者信息，比如在Linux/macOS下运行：

pdfsig -dump yourfile.pdf | grep -A5 -B5 "Issuer"

这样就能精准找到签名证书的颁发者（Issuer）字段，比如会显示类似Issuer: CN=XX根证书颁发机构, O=XX公司, C=CN这样的内容，记下来这个颁发者的信息。

第二步：获取对应的可信证书文件 #

知道颁发者之后，你需要拿到这个机构的可信证书（通常是根证书，有时候也需要中间证书）：

• 如果你能从签名的证书链里导出，那是最稳妥的；
• 如果是公开的商业CA，也可以从他们的官方渠道获取证书文件（注意要选PEM或DER格式的可信证书）。

第三步：把证书添加到pdfsig的信任列表里 #

pdfsig会优先使用系统的信任证书存储，你也可以指定自定义目录，两种方法任你选：

方法一：添加到系统全局信任存储（推荐，一劳永逸） #

• Linux系统：
  把证书文件复制到/usr/share/ca-certificates/目录，然后运行update-ca-certificates命令更新系统信任列表，之后pdfsig就会自动识别这个证书了。
• Windows系统：
  双击证书文件，在弹出的向导里选择「安装证书」，然后选择「本地计算机」，下一步后选择「将所有证书放入下列存储」，点击「浏览」选择「受信任的根证书颁发机构」，完成安装即可。
• macOS系统：
  双击证书文件，选择要导入的钥匙串（比如「系统」），导入后打开「钥匙串访问」，找到这个证书，右键选择「显示简介」，在「信任」选项卡把「使用此证书时」设置为「始终信任」。

方法二：指定自定义证书目录（适合不想修改系统全局设置的情况） #

创建一个专门的证书目录，比如~/poppler-trusted-certs/，把你的可信证书文件放进去，之后运行pdfsig时加上--cert-dir参数指定这个目录，比如：

pdfsig --cert-dir ~/poppler-trusted-certs/ yourfile.pdf

第四步：验证问题是否解决 #

重新运行pdfsig yourfile.pdf，如果看到证书验证部分显示「Certificate is Trusted」或者类似的提示，就说明问题已经解决啦！

另外再提个小注意点：有时候证书是多层签发的，可能需要安装整个证书链（根CA+中间CA）才能让验证通过，别漏了中间证书哦。

备注：内容来源于stack exchange，提问作者Pedro Gimeno