如何使用iText7将.p7s字节数组插入PDF？

首先，您不必像您一样拆分签名过程。我已经看到了很多开发人员想要执行此操作的问题，但是严格来说，这是没有必要的（嗯，iText仍然会先创建一个准备好的PDF，然后再注入签名容器，但是可以保留它。在引擎盖下）。

仅当外部签名服务需要很长时间才能创建签名并且您不能将PDF保留在内存中时，才需要拆分过程。

我将在这里研究这两种变体。

单遍签名

如果您的外部签名服务以足够快的速度返回结果（完整的PKCS＃7签名容器），则应使用此方法。基本代码与您的类似：

PdfSigner signer = new PdfSigner(new PdfReader("example.pdf"), new FileStream("example-signed.pdf", FileMode.Create), new StampingProperties().UseAppendMode());
signer.SetFieldName("Signature1");

PdfSignatureAppearance sigAppearance = signer.GetSignatureAppearance();
sigAppearance
    .SetPageRect(new Rectangle(144, 144, 200, 100))
    .SetPageNumber(1)
    .SetContact("This is contact")
    .SetReason("This is reason")
    .SetLocation("This is location")
    .SetSignatureCreator("This is signature creator");

ExternalServiceSignatureContainer container = new ExternalServiceSignatureContainer();

signer.SignExternalContainer(container, 8192);

您的代码的区别在于IExternalSignatureContainer实现：

public class ExternalServiceSignatureContainer : IExternalSignatureContainer
{
    public void ModifySigningDictionary(PdfDictionary signDic)
    {
        signDic.Put(PdfName.Filter, PdfName.Adobe_PPKLite);
        signDic.Put(PdfName.SubFilter, PdfName.Adbe_pkcs7_detached);
    }

    public byte[] Sign(Stream data)
    {
        // Call your external signing service to create a CMS signature container
        // for the data in the InputStream and return that signature container

        [... see below ...]
    }
}

根据您用于访问该外部签名服务的API的Sign不同，实现也有所不同。在每种情况下，我都假定API_CALL以字节数组的形式返回结果PKCS＃7签名容器：

• 您也许可以直接在信息流中调用它

  return YOUR_SIGNING_API_CALL_FOR_STREAM(data);
  

• 或使用从流内容生成的byte []

  return YOUR_SIGNING_API_CALL_FOR_ARRAY(StreamUtil.InputStreamToArray(data));
  

  作为参数，

• 否则您可能首先必须自己对数据进行哈希处理（例如，如下所示），然后将哈希发送给服务。

  byte[] hash = DigestAlgorithms.Digest(data, DigestAlgorithms.SHA256);
  return YOUR_SIGNING_API_CALL_FOR_HASH(hash)
  

signer已经的输出是已完成签名的PDF。

本质上就是这个答案已经讨论过的情况。

两遍签名

如果您的外部签名服务没有足够快地返回结果（完整的PKCS＃7签名容器）（例如，在使用批处理签名API的情况下，或者在服务等待较长时间确认的情况下），或者在您身边您可以在调用签名服务之前实现部件，然后在单独的程序中实现部件（确实有人这样做），则可以使用这种方法。

同样，基本代码与您的类似：

PdfSigner signer = new PdfSigner(new PdfReader("example.pdf"), new FileStream("example-prepared.pdf", FileMode.Create), new StampingProperties().UseAppendMode());
signer.SetFieldName("Signature1");

PdfSignatureAppearance sigAppearance = signer.GetSignatureAppearance();
sigAppearance
    .SetPageRect(new Rectangle(144, 144, 200, 100))
    .SetPageNumber(1)
    .SetContact("This is contact")
    .SetReason("This is reason")
    .SetLocation("This is location")
    .SetSignatureCreator("This is signature creator");

ExternalEmptySignatureContainer container = new ExternalEmptySignatureContainer();

signer.SignExternalContainer(container, 8192);

byte[] dataToSign = container.Data;

在ExternalEmptySignatureContainer现在只提供了由签名服务后签署的数据，不注射签名容器还

public class ExternalEmptySignatureContainer : IExternalSignatureContainer
{
    public void ModifySigningDictionary(PdfDictionary signDic)
    {
        signDic.Put(PdfName.Filter, PdfName.Adobe_PPKLite);
        signDic.Put(PdfName.SubFilter, PdfName.Adbe_pkcs7_detached);
    }

    public byte[] Sign(Stream data)
    {
        // Store the data to sign and return an empty array

        [... see below ...]

        return new byte[0];
    }

    public byte[] Data;
}

根据您用于访问该外部签名服务的API的Sign不同，实现也有所不同。

• 如果您的签名API需要原始数据进行签名，请使用从流内容生成的byte []

  Data = StreamUtil.InputStreamToArray(data);
  

• 如果您的签名API期望原始数据的哈希值用于签名，请从流内容中像这样计算它

  Data = DigestAlgorithms.Digest(data, DigestAlgorithms.SHA256);
  

的输出signer是中介的，准备好的PDF。

下一步是调用签名服务并检索PKCS＃7签名容器：

byte[] signature = YOUR_SIGNING_API_CALL(dataToSign);

最后，将签名容器注入准备好的PDF中：

PdfDocument document = new PdfDocument(new PdfReader("example-prepared.pdf"));
using (Stream output = new FileStream("example-prepared-signed.pdf", FileMode.Create))
{
    ExternalInjectingSignatureContainer container2 = new ExternalInjectingSignatureContainer(signature);

    PdfSigner.SignDeferred(document, "Signature1", output, container2);
}

该IExternalSignatureContainer实现仅注入签名字节：

public class ExternalInjectingSignatureContainer : IExternalSignatureContainer
{
    public ExternalInjectingSignatureContainer(byte[] signature)
    {
        Signature = signature;
    }

    public void ModifySigningDictionary(PdfDictionary signDic)
    {
    }

    public byte[] Sign(Stream data)
    {
        return Signature;
    }

    public byte[] Signature;
}

输出是已定稿的，已签名的PDF。