使用iText 8.0.4二次签名PDF后DSS验证出现未定义对象修改警告

问题场景 #

使用iText 8.0.4在.NET中对PDF进行两次签名后，通过DSS验证时第一个签名出现警告：

The document contains undefined object modifications after the signature revision!

Adobe Reader未检测到该问题，但第一个签名的覆盖范围已无法包含整个文档。

签名代码 #

public static void Sign(String src, String dest, Org.BouncyCastle.X509.X509Certificate[] chain, ICipherParameters pk,
    String digestAlgorithm, PdfSigner.CryptoStandard subfilter, String reason, String location, string signName)
{
    var props = new StampingProperties();
    props.UseAppendMode();
    PdfReader reader = new PdfReader(src);
    PdfSigner signer = new PdfSigner(reader, new FileStream(dest, FileMode.Create), props);

    // Create the signature appearance
    Rectangle rect = new Rectangle(56, 648, 200, 100);
    PdfSignatureAppearance appearance = signer.GetSignatureAppearance();
    appearance
        .SetReason(reason)
        .SetLocation(location)

        // Specify if the appearance before field is signed will be used
        // as a background for the signed field. The "false" value is the default value.
        .SetReuseAppearance(false)
        .SetPageRect(rect)
        .SetPageNumber(1);
    signer.SetFieldName("sig2");

    IExternalSignature pks = new PrivateKeySignature(new PrivateKeyBC(pk), digestAlgorithm);

    IX509Certificate[] certificateWrappers = new IX509Certificate[chain.Length];
    for (int i = 0; i < certificateWrappers.Length; ++i)
    {
        certificateWrappers[i] = new X509CertificateBC(chain[i]);
    }
    // Sign the document using the detached mode, CMS or CAdES equivalent.
    signer.SignDetached(pks, certificateWrappers, null, null, null, 0, subfilter);
}

问题原因 #

核心问题在于签名字段的复用：

• 代码中硬编码了签名字段名"sig2"，两次签名都试图修改同一个签名字段。
• 追加模式下，第二次签名会修改已存在的sig2字段对象（比如更新其外观引用或状态），而这个字段属于第一个签名的修订范围。DSS严格遵循PDF规范，将这种跨修订的未授权修改标记为警告；Adobe Reader的验证逻辑相对宽松，未将此类修改判定为违规。

解决方案 #

1. 使用唯一签名字段名
   将硬编码的字段名替换为方法参数传入的signName，确保每次签名使用独立的字段：

   // 替换原硬编码的"sig2"
   signer.SetFieldName(signName);
   

   调用签名方法时，第一次传入"sig1"，第二次传入"sig2"，避免修改已有签名字段。

2. 确保签名字段在当前修订创建
   追加模式下，新签名字段会被添加到AcroForm的字段列表中，属于当前签名的修订范围，不会影响前一个签名的文档完整性。

3. 检查外观复用设置
   保持SetReuseAppearance(false)是合理的，但需确保每个签名的外观对象都属于当前修订，避免引用前一个签名的外观资源。

补充说明 #

PDF规范要求，后续签名只能在文档末尾追加新的修订，且不能修改前一个签名覆盖范围内的任何对象。DSS的验证逻辑严格执行这一规范，而Adobe Reader对部分非关键性修改（如签名字段的状态更新）采取了容忍策略，这是两者检测结果不同的原因。

内容的提问来源于stack exchange，提问作者mihai stoica