如何用iTextSharp 7结合智能卡实现PDF文档的PAdeS数字签名？

我太懂你这种新旧版本文档断层的痛苦了！iText 7确实对签名模块做了大幅重构，很多5.x的API都被彻底替换，官方文档更新慢得让人抓狂。不过我之前刚好做过类似的需求，给你梳理下关键步骤和可直接复用的代码示例：

第一步：正确引入NuGet包 #

iText 7的签名功能拆分到了独立模块，你需要安装这几个核心包：

• itext7：iText核心库
• itext7.signatures：专门处理签名的扩展模块
• BouncyCastle.Crypto：加密依赖库（用于处理证书、私钥等加密操作）

第二步：核心API的新旧替换（和5.x对比） #

别再死磕旧版本的PdfStamper和PdfSignatureAppearance了，7.x里对应的核心类调整如下：

• PdfSigner：替代PdfStamper，负责统筹整个PDF签名流程
• SignatureAppearance：名字虽没变，但属性和调用逻辑有不少调整
• IExternalSignature：定义签名逻辑的接口，常用实现是PrivateKeySignature

第三步：PAdeS签名的完整代码示例 #

下面是一个基础的PAdeS-B签名实现（满足最基本的PAdeS标准），你可以在此基础上扩展LTV（长期有效验证）等高级功能：

using iText.Kernel.Pdf;
using iText.Signatures;
using Org.BouncyCastle.Pkcs;
using Org.BouncyCastle.Security;
using System.IO;

public void SignPadesPdf(string inputPdfPath, string outputSignedPdfPath, string pfxCertPath, string certPassword)
{
    // 加载PKCS#12格式的证书文件
    Pkcs12Store pkcs12Store = new Pkcs12Store(
        new FileStream(pfxCertPath, FileMode.Open, FileAccess.Read), 
        certPassword.ToCharArray()
    );

    // 找到证书中的私钥条目
    string privateKeyAlias = null;
    foreach (string alias in pkcs12Store.Aliases)
    {
        if (pkcs12Store.IsKeyEntry(alias) && pkcs12Store.GetKey(alias).Key.IsPrivate)
        {
            privateKeyAlias = alias;
            break;
        }
    }

    AsymmetricKeyEntry keyEntry = pkcs12Store.GetKey(privateKeyAlias);
    X509CertificateEntry[] certChainEntries = pkcs12Store.GetCertificateChain(privateKeyAlias);
    X509Certificate[] certChain = new X509Certificate[certChainEntries.Length];
    for (int i = 0; i < certChainEntries.Length; i++)
    {
        certChain[i] = certChainEntries[i].Certificate;
    }

    // 初始化PDF签名器
    PdfReader pdfReader = new PdfReader(inputPdfPath);
    PdfSigner pdfSigner = new PdfSigner(
        pdfReader, 
        new FileStream(outputSignedPdfPath, FileMode.Create), 
        new StampingProperties()
    );

    // 配置签名外观（可选）
    SignatureAppearance signatureAppearance = pdfSigner.GetSignatureAppearance();
    signatureAppearance.SetReason("业务文档签署")
                      .SetLocation("上海")
                      .SetContact("contact@example.com")
                      .SetPageRect(new iText.Kernel.Geom.Rectangle(36, 748, 200, 100)) // 签名框位置
                      .SetPageNumber(1); // 签名所在页码

    // 创建签名对象
    IExternalSignature externalSignature = new PrivateKeySignature(
        keyEntry.Key, 
        DigestAlgorithms.SHA256, 
        "BC"
    );

    // 执行PAdeS签名（指定CMS标准是PAdeS的核心要求）
    pdfSigner.SignDetached(
        externalSignature, 
        certChain, 
        null, 
        null, 
        null, 
        0, 
        PdfSigner.CryptoStandard.CMS
    );
}

关键注意事项 #

• PAdeS标准强制要求签名符合CMS（密码消息语法），所以代码中必须指定PdfSigner.CryptoStandard.CMS参数
• 如果需要实现PAdeS-LTV（长期有效验证），可以通过OcspClientBouncyCastle和CrlClientOnline类获取OCSP/CRL信息，将它们传入SignDetached方法的第3、4参数即可
• Java版本的示例大部分可以参考，但要注意.NET里的命名空间差异：iText类在iText.Kernel、iText.Signatures下，BouncyCastle类在Org.BouncyCastle下，和Java的org.bouncycastle一一对应

我当时也是踩了一堆API适配的坑才搞通，这个基础示例应该能帮你跳出当前的困境，要是需要扩展LTV或其他高级功能，可以再细化问题~

内容的提问来源于stack exchange，提问作者crick77