证书级电子签名 - 具备法律效力的合规签名方案
为什么需要证书签名
简单的手写签名或图片签名只是 PDF 上的一个视觉标记——任何人拿到 PDF 都可以把签名图片去掉、改改 PDF 内容、再贴回去。这种签名没有法律效力，也无法证明是谁签的、签后有没有被改。
证书级数字签名解决这两个问题：
- 不可否认性：用私钥签名，私钥只有签名人自己掌握，签名人不能声称「签名不是我签的」
- 防篡改性：签名后如果 PDF 被改动，签名会自动失效——任何查看者一看就知道文档被人动过手脚
这些特性基于公钥密码学，所以证书签名是商业合同、法律文件、政府采购投标等正式场景的标准做法。
法规依据
不同地区对电子签名的法律效力有明确规定：
- 中国：《中华人民共和国电子签名法》规定可靠的电子签名与手写签名或盖章具有同等法律效力。可靠电子签名的条件：
- 专属于电子签名人
- 由电子签名人控制
- 签名后任何改动能被发现
- 数据电文内容任何改动能被发现
- 欧盟：eIDAS 法规规定合格电子签名（QES）与手写签名具有同等法律效力
- 美国：ESIGN 法案规定电子签名在商业交易中合法有效
PDFelement 的证书签名符合上述法规对「可靠电子签名」的技术要求。
获取数字证书的渠道
| 渠道 | 适用场景 | 费用 |
|---|---|---|
| CA 机构购买 | 企业 / 个人商业合同 | 年付几百到几千元，按证书等级不同 |
| 企业内部 CA | 企业内部文件 | 企业 IT 部门免费提供，仅在企业内部信任 |
| PDFelement 在线签名服务 | PDFelement 用户快速上手 | Pro 版或订阅版包含一定次数 |
| 浏览器自签名 | 学习 / 测试 | 免费，但没有 CA 背书（不信任） |
国内主要 CA：CFCA（中国金融认证中心）、Wosign（沃通）、GlobalSign（亚太区）、DigiCert。
个人 vs 企业证书：
- 个人证书：签名显示个人姓名，适合个人对外签署
- 企业（组织）证书：签名显示企业名称，绑定法定代表人或授权代表人，适合企业对外合同
安装证书到 PDFelement
从 CA 机构购买的证书通常是一个 .pfx 或 .p12 文件（同时包含你的私钥和公钥证书），加一个密码。
PDFelement 里安装：
- Protect 标签页 → 找「Digital Signature」→ 选「Add Digital ID / 我的数字身份证」
- 选「Import」→ 浏览找到你的 .pfx / .p12 文件
- 输入证书密码（CA 给你的）
- 给证书起个友好名称（比如「张三个人签名」或「XX 公司合同专用」）
- 点 OK → 证书安装完成，保存在 PDFelement 的安全存储里
安装好的证书可以在「Digital ID」面板里查看、备份、删除。
用证书签名 PDF
第 1 步：打开要签名的 PDF → Protect 标签页 → 「Digital Signature」→ 选你的证书。
第 2 步：在 PDF 上点击要放置签名的位置（通常是合同最后一页的「签字」处）。
第 3 步：在弹出的签名窗口里：
- 签名外观：可以选预设模板或自定义（显示姓名、公司、职位、日期、CA 名称、Logo 等）
- 是否锁定文档：勾选后签名会锁定 PDF，后续任何人无法修改
- 签名原因：输入签名理由（比如「同意合同条款」「已审核」）
第 4 步：点击「Sign」→ PDFelement 用你的私钥对 PDF 的所有字节进行哈希运算并加密 → 生成签名值 → 嵌入到 PDF 里。
签名完成后：
- 签名区域显示你的签名外观（名字 + 证书信息）
- PDF 右下角通常会出现一个签名徽章（如果开启）
- 文件可以直接发给对方——对方打开就能验证
验证收到的签名 PDF
收到一份别人签过名的 PDF：
方法 1：点签名区域
- 点击 PDF 上对方的签名区域
- 弹出的面板里显示：
- 签名人名称
- 证书颁发机构
- 签名时间
- 签名原因
- 签名是否有效（绿色对勾 / 红色叉号）
方法 2：签名面板列表
- 左侧导航面板 → 点「签名（Signatures）」图标
- 列出 PDF 上所有的签名链
- 每个签名旁边有验证状态图标
可能出现的验证状态
| 状态 | 含义 |
|---|---|
| ✅ 绿色对勾 | 签名有效（证书未过期、PDF 未被修改、签名链完整） |
| ⚠️ 黄色警告 | 有问题但可查看详情（比如证书自签名、不在信任列表里） |
| ❌ 红色叉号 | 签名无效（PDF 被修改过、证书已过期、私钥不匹配等） |
红色叉号 = 这份 PDF 在签名后被人动过手脚。直接拒收，让对方重新签一份。
添加 CA 到信任列表
如果 PDFelement 不认识给你发签名的 CA 机构（显示黄色警告但签名验证通过）：
- Protect 标签页 → 找「Manage Trusted Identities（管理信任的身份）」
- 添加对方证书的 CA 根证书 → 之后来自这个 CA 的签名都会自动通过验证
常见问题
Q: 签完名 PDF 里能不能再加文字？ A: 不能。证书签名后 PDF 会被锁定（除非你在签名设置里没有勾「锁定文档」，但商业合同都应该锁定）。必须先编辑完 PDF → 检查无误 → 再签名。
Q: 证书丢了或电脑坏了怎么办？ A: 证书私钥是唯一的。如果丢了或电脑坏了，之前签的 PDF 还是有效（因为 PDF 里有公钥可以验证），但你没法再用这个证书签新文件了。赶紧联系 CA 吊销旧证书 → 重新申请新证书。
Q: 签名 PDF 打不开或显示乱码？ A: 证书签名本身不会影响 PDF 正常打开（签名只是嵌入额外的数据，不影响正文）。如果打不开可能是 PDF 文件本身损坏，和签名无关。用系统默认 PDF 阅读器试试能不能打开——能打开说明 PDF 没问题，签名在 PDFelement 里验证就行。
Q: 个人需要买证书吗？ A: 如果只是偶尔签一份非正式文件，用 PDFelement 的图片签名就够了。如果要签商业合同、和公司/机构签署，建议买个人证书（几百元一年）——正规 CA 颁发的证书在法律上才有足够的证明力。