怎样在Python中实现对PDF文档的数字签名加密_使用PyPDF2模块-Python教程-PHP中文网

pypdf2不支持数字签名，仅提供弱密码保护；合规数字签名需用endesive或pyhanko，aes-256加密推荐pypdf，且必须先签名后加密以确保验证有效。

怎样在python中实现对pdf文档的数字签名加密_使用pypdf2模块

PyPDF2 本身不支持数字签名或加密——它只能做基础的密码保护（即“打开密码”和“编辑权限密码”），且这种保护是弱加密（RC4，AES-128 支持有限且非标准实现），无法替代符合 PKCS#7 / PAdES 标准的数字签名。

真正能做合规数字签名的库是 endesive 或 pyHanko，而加密（如 AES-256）需配合 pypdf（PyPDF2 的现代继任者）或底层 pikepdf。

下面分两块说清楚怎么做、为什么不能用 PyPDF2、以及实际可落地的方案：

为什么 `PyPDF2` 无法实现数字签名

PyPDF2 没有内置 ASN.1 编码、CMS 签名构造、证书嵌入、时间戳服务对接等能力。它的 add_password() 方法只是往 PDF 的 /Encrypt 字典里写密钥参数，属于“文档级密码保护”，和 CA 颁发证书、私钥签名、验证身份的“数字签名”完全不是一回事。

常见误操作现象：

调用 encrypt() 后用 Adobe Reader 显示“已签名”——其实是假象，实际没签名字段，也过不了国密/ETSI 验证
试图用 PyPDF2 + cryptography 手动拼签名字节——会破坏 PDF 结构，导致文件损坏或签名无效

用 `pypdf` 实现 AES-256 文档加密（替代 PyPDF2）

pypdf 是 PyPDF2 的活跃维护分支，支持现代加密标准，API 兼容但更可靠。

实操建议：

testing-python

使用pytest编写和评估有效的Python测试。适用于编写测试、审查测试代码、调试测试失败或提高测试覆盖率。

下载

安装：pip install pypdf（卸载 PyPDF2 避免冲突）
加密必须在保存前调用 encrypt()，且仅对新生成或已解密的 PDF 有效
使用 use_128bit=False 可启用 AES-256（默认为 True 表示 128-bit RC4/AES）
密码为空字符串 "" 表示“无打开密码”，但可设权限密码限制打印/编辑

from pypdf import PdfReader, PdfWriter
<p>reader = PdfReader("input.pdf")
writer = PdfWriter()
for page in reader.pages:
writer.add_page(page)</p><h1>AES-256 加密：需指定 owner password，user password 可为空</h1><p>writer.encrypt(user_password="", owner_password="secret123", use_128bit=False)</p><p>with open("output_encrypted.pdf", "wb") as f:
writer.write(f)</p>

用 `endesive` 添加合规数字签名（含证书+时间戳）

这是目前 Python 中最轻量、可直接跑通 PAdES-BES 签名的方案，依赖 OpenSSL 和本地证书文件。

关键点：

需要 PEM 格式私钥（key.pem）和证书链（cert.pem），不可用 PFX/P12 直接加载
签名位置默认加在文档末尾，不影响原文内容流；Adobe Reader 能识别并显示“签名者：xxx”
若要权威时间戳，需配置 RFC 3161 时间戳服务器 URL（如 https://freetsa.org/tsr）
sign() 返回的是完整 PDF 字节，必须用 open(..., "wb") 保存，不能用文本模式

from endesive import pdf
<p>with open("input.pdf", "rb") as f:
data = f.read()</p><h1>签名配置（注意路径和密码）</h1><p>clt = pdf.CMS()
clt.sign(
data,
"cert.pem",        # 证书链
"key.pem",         # 私钥（需明文或提供密码）
[],
"sha256",
None,              # 时间戳服务器 URL，None 表示不加时间戳
)</p><p>with open("output_signed.pdf", "wb") as f:
f.write(clt.signed_data)</p>