Java使用Itext5.5.10进行pdf签章

来源：Java使用Itext5.5.10进行pdf签章_liumengya007007的博客-CSDN博客_itext 签章

啰嗦

说到PDF数字签名签章，这个其实也是数字证书信息安全的应用范畴，关于数字证书和数字签名，网上有很多解释说明，但讲解都多不够详细准确，这边推荐一篇大神的博文，讲解浅显易懂形象数字证书数字签名数据加密。刚入门CA行业的人，可以入门看看。
言归正传，正文开始

Itext包和 BC包

要自己实现PDF数字签章，是一件极其浩大的工程，难度很大（看看市面上多少公司是吃这一行的饭就知道了），好在java是个开源的世界，有很多开源项目。这里，咱们使用itext来实现一下pdf的数字签章（为什么挑itext，很大原因是，自己在做这一块的时候，网上对于itext的使用也有很多博文，不过，大多都是用的比较早期的itext，itext官网目前的版本的已经有了变化，网上普遍的做法都已经不适用了，还有一个原因，itext官网有官方教程，各个模块的样例，很方便）。
如果不知道在官网怎么下载jar包，这里附上我自己的下载地址方便大家， itextpdf-5.5.10 源码、jar包、doc文档，另外还需要密钥算法包bouncycastle.org ，这个官网下载很简单，官网地址如下bouncycastle.org官网。

开始

咱们跟随样例，先来一个简单的签章。步骤如下：
一、准备一个pdf文档（貌似是废话）
二、准备一个图章图片（貌似也是废话）
三、准备一个keystore（只要是java keystore支持的格式都可以，例如.p12，如果没有，可以用bouncycastle生成一个，也很简单）。其实，Usbkey数字证书也是可以使用的，后边我再说这一块。
四、按照官网样例，写个.p12的签章代码。

代码

1、新建Java项目，导入itext包和 bc包
准备需要的资料
导入的包，应该有多余的包，我直接从项目中复制出来的

import java.io.File;
import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.IOException;
import java.security.GeneralSecurityException;
import java.security.KeyStore;
import java.security.PrivateKey;
import java.security.Security;
import java.security.cert.Certificate;
import java.security.cert.X509Certificate;
import java.util.ArrayList;
import java.util.Collection;
import javax.swing.JOptionPane;
import com.itextpdf.text.DocumentException;
import com.itextpdf.text.Image;
import com.itextpdf.text.Rectangle;
import com.itextpdf.text.log.Logger;
import com.itextpdf.text.log.LoggerFactory;
import com.itextpdf.text.pdf.PdfReader;
import com.itextpdf.text.pdf.PdfSignatureAppearance;
import com.itextpdf.text.pdf.PdfSignatureAppearance.RenderingMode;
import com.itextpdf.text.pdf.PdfStamper;
import com.itextpdf.text.pdf.security.BouncyCastleDigest;
import com.itextpdf.text.pdf.security.CrlClient;
import com.itextpdf.text.pdf.security.DigestAlgorithms;
import com.itextpdf.text.pdf.security.ExternalDigest;
import com.itextpdf.text.pdf.security.ExternalSignature;
import com.itextpdf.text.pdf.security.MakeSignature;
import com.itextpdf.text.pdf.security.MakeSignature.CryptoStandard;
import com.itextpdf.text.pdf.security.PrivateKeySignature;

准备的资料

    public static final String KEYSTORE = "F:\\ZzCert\\test.p12";public static final char[] PASSWORD = "111111".toCharArray();//keystory密码public static final String SRC = "F:\\test\\src.pdf";public static final String DEST = "F:\\test\\signed_dest.pdf";

2、写个类，声明一个方法用来进行pdf签章

public void sign(String src  //需要签章的pdf文件路径, String dest  // 签完章的pdf文件路径, Certificate[] chain //证书链, PrivateKey pk //签名私钥, String digestAlgorithm  //摘要算法名称，例如SHA-1, String provider  // 密钥算法提供者，可以为null, CryptoStandard subfilter //数字签名格式，itext有2种, String reason  //签名的原因，显示在pdf签名属性中，随便填, String location) //签名的地点，显示在pdf签名属性中，随便填throws GeneralSecurityException, IOException, DocumentException {//下边的步骤都是固定的，照着写就行了，没啥要解释的// Creating the reader and the stamper，开始pdfreaderPdfReader reader = new PdfReader(src);//目标文件输出流FileOutputStream os = new FileOutputStream(dest);//创建签章工具PdfStamper ，最后一个boolean参数 //false的话，pdf文件只允许被签名一次，多次签名，最后一次有效//true的话，pdf可以被追加签名，验签工具可以识别出每次签名之后文档是否被修改PdfStamper stamper = PdfStamper.createSignature(reader, os, '\0', null, true);// 获取数字签章属性对象，设定数字签章的属性PdfSignatureAppearance appearance = stamper.getSignatureAppearance();appearance.setReason(reason);appearance.setLocation(location);//设置签名的位置，页码，签名域名称，多次追加签名的时候，签名预名称不能一样//签名的位置，是图章相对于pdf页面的位置坐标，原点为pdf页面左下角//四个参数的分别是，图章左下角x，图章左下角y，图章右上角x，图章右上角yappearance.setVisibleSignature(new Rectangle(200, 200, 300, 300), 1, "sig1");//读取图章图片，这个image是itext包的imageImage image = Image.getInstance("F:\\test\\Dummy1.png"); appearance.setSignatureGraphic(image); appearance.setCertificationLevel(PdfSignatureAppearance.NOT_CERTIFIED);//设置图章的显示方式，如下选择的是只显示图章（还有其他的模式，可以图章和签名描述一同显示）appearance.setRenderingMode(RenderingMode.GRAPHIC);// 这里的itext提供了2个用于签名的接口，可以自己实现，后边着重说这个实现// 摘要算法ExternalDigest digest = new BouncyCastleDigest();// 签名算法ExternalSignature signature = new PrivateKeySignature(pk, digestAlgorithm, null);// 调用itext签名方法完成pdf签章MakeSignature.signDetached(appearance, digest, signature, chain, null, null, null, 0, subfilter);｝

3、main方法中调用签章
调用代码很简单，如下

public static void main(String[] args)  {try {//读取keystore ，获得私钥和证书链KeyStore ks = KeyStore.getInstance("PKCS12");ks.load(new FileInputStream(KEYSTORE), PASSWORD);String alias = (String)ks.aliases().nextElement();PrivateKey pk = (PrivateKey) ks.getKey(alias, PASSWORD);Certificate[] chain = ks.getCertificateChain(alias);//new一个上边自定义的方法对象，调用签名方法MainWindow app = new MainWindow();
//      app.sign(SRC, String.format(DEST, 1), chain, pk, DigestAlgorithms.SHA1, provider.getName(), CryptoStandard.CMS, "Test 1", "Ghent");
//      app.sign(SRC, String.format(DEST, 2), chain, pk, "SM3", provider.getName(), CryptoStandard.CADES, "Test 2", "Ghent");app.sign(SRC, String.format(DEST, 3), chain, pk, DigestAlgorithms.SHA1, null, CryptoStandard.CMS, "Test 3", "Ghent");
//      app.sign(SRC, String.format(DEST, 4), chain, pk, DigestAlgorithms.RIPEMD160, provider.getName(), CryptoStandard.CADES, "Test 4", "Ghent");} catch (Exception e) {// TODO Auto-generated catch blockJOptionPane.showMessageDialog(null, e.getMessage());e.printStackTrace();} }

4、运行main方法就可以了。效果如下，用adobe reader可以看到图章，可以获取签名信息

使用特殊签名算法

上边的例子中，使用的是比较常见的签名算法-sha1withRsa，itext支持国际流行的大部分签名算法。
当然itext也支持特殊的签名算法，例如国密，为什么itext不把国密算法也封装进jar包呢，一个原因是国密并不是国际通用标准，二是即便把国密封装进jar包，进行完签名后，一般的pdf阅读器也是无法验签的，因为adobe 的pdf标准没有国密算法。
即便如此，我们依然可以自己把国密算法加到itext签章中，只不过阅读器无法验签就对了。主要用的就是上边例子中的2个接口。

        // 摘要算法ExternalDigest digest ;// 签名算法ExternalSignature signature ;

我们可以通过自己实现这2个接口，来添加国密算法。
看看这连个接口的源码，都很简单，digest接口返回MessageDigest，实现的时候，直接new 一个MessageDigest，然后实现MessageDigest的抽象方法，把自己实现的SM3算法加进去就可以了（SM3withSM2按照国密的标准，sm3要加预处理，具体怎么做，百度很多，这里不多说）
signature 接口3个抽象方法，分别返回摘要算法名称（例如SM3 或者SHA1等），签名算法中使用的加密算法名称（例如SM2 或者RSA等），第三个抽象方法sign就是具体的签名算法，传入的参数message是签名原文，返回值是签名结果，针对国密算法来说，就可以把自己实现好的 sm3withsm2签名算法写进去。
另外，需要注意，实现接口后，运行main会提示错误，原因是自己实现的国密接口的OID并没有加入到itext源码中，可以根据错误提示，找到需要加入oid的地方，直接把算法oid写进去后 itext就可以认到我们自己实现的算法了。大致有2个地方要加，一个是摘要算法的oid，一个是签名算法的oid

package com.itextpdf.text.pdf.security;import java.security.GeneralSecurityException;
import java.security.MessageDigest;/**** @author psoares*/
public interface ExternalDigest {public MessageDigest getMessageDigest(String hashAlgorithm) throws GeneralSecurityException;
}

package com.itextpdf.text.pdf.security;import java.security.GeneralSecurityException;/*** Interface that needs to be implemented to do the actual signing.* For instance: you'll have to implement this interface if you want* to sign a PDF using a smart card.* @author Paulo Soares*/
public interface ExternalSignature {/*** Returns the hash algorithm.* @return  the hash algorithm (e.g. "SHA-1", "SHA-256,...")*/public String getHashAlgorithm();/*** Returns the encryption algorithm used for signing.* @return the encryption algorithm ("RSA" or "DSA")*/public String getEncryptionAlgorithm();/*** Signs it using the encryption algorithm in combination with* the digest algorithm.* @param message   the message you want to be hashed and signed* @return  a signed message digest* @throws GeneralSecurityException*/public byte[] sign(byte[] message) throws GeneralSecurityException;
}

UsbKey 数字证书签章

大家一定有用UsbKey签章的需求，因为软证书是不安全的，私钥容易被窃取，UsbKey数字证书才是最正规最安全的方案，上边说的都是基于软证书的，那么Ukey硬证书要怎么签章呢？
同样的，我们还是利用如下这2个接口。不过，这次不用实现digest了，因为itext自己包含的digest算法都是可以满足的，直接用例子中的代码就可以。
你说我的ukey 证书也是国密SM3withSM2的，那怎么办，我的回答是，国密算法的ukey最好不要用，因为还是那句话，即便实现了接口，签出来pdf后，市面上主流pdf阅读器都不能验签，那就失去了签章的意义。除非，自己写一个阅读器。。。
（可以点开源码看看itext oid中都包含那些算法，目前咱们用得到的算法，除了国密算法，其他的算法基本都可以支持）

        // 摘要算法ExternalDigest digest = new BouncyCastleDigest();;// 签名算法ExternalSignature signature ;

OK，Ukey怎么调用，很简单，同样是实现signature接口，把你的ukey的摘要算法和加密算法名称返回， sign函数中，调用你的Ukey的签名算法就行了。
比如，你的Ukey是windows平台的，Ukey厂家肯定给你有Ukey驱动和算法dll，我们需要做的就是，用java写个jni接口，添加native方法，然后javah生成.h头文件，然后在用c或者c++调用厂家的dll实现jni接口，然后在 ExternalSignature的sign方法中调用native方法就可以了。
当然，自己封装的签名函数传入的参数就要变一变了，例如私钥就直接传入null

import java.io.File;public class NativeMethods {static {String parentPath="D:\\dll\\";String dllName="NativeCode.dll";File dll=new File(parentPath+dllName);if (dll.exists()) {
//      System.loadLibrary(dllName);//dll必须方法系统环境变量下System.load(parentPath+dllName); //可以指定任意位置}}//进行签名，传入签名原文，返回签名结果public native String signByUKEY(String message);//获取签名公钥证书public native String getSignCer();
}

使用远程服务器签名的方式签章

看了上边内容，估计你也会举一反三的实现服务器形式的签名了，没错，就是实现签名接口ExternalSignature signature ;，在sign方法中访问服务器签名接口传送签名原文，返回签名结果就可以了。

结语

OK了，itext 进行pdf签章这块就说完了，希望对大家有所帮助。