当前位置：首页 > 文章列表 > 文章 > python教程 > Python实现PDF数字签名加密方法

Python实现PDF数字签名加密方法

2026-05-25 15:24:33 0浏览收藏

本文深入解析了Python中实现PDF合规数字签名与AES-256加密的正确路径，明确指出PyPDF2仅支持弱密码保护、完全无法满足PKCS#7/PAdES标准的数字签名需求；真正可行的方案是组合使用endesive（或pyHanko）完成带证书和可选RFC 3161时间戳的合规签名，再通过现代库pypdf实施AES-256文档级加密，并强调“先签名后加密”这一不可逆的关键顺序——任何步骤错位、工具误用或证书配置缺陷（如缺失digitalSignature扩展）都将导致签名无效或验证失败，为开发者提供了清晰、可靠、一步到位的生产级实践指南。

怎样在Python中实现对PDF文档的数字签名加密_使用PyPDF2模块

PyPDF2 本身不支持数字签名或加密——它只能做基础的密码保护（即“打开密码”和“编辑权限密码”），且这种保护是弱加密（RC4，AES-128 支持有限且非标准实现），无法替代符合 PKCS#7 / PAdES 标准的数字签名。

真正能做合规数字签名的库是 endesive 或 pyHanko，而加密（如 AES-256）需配合 pypdf（PyPDF2 的现代继任者）或底层 pikepdf。

下面分两块说清楚怎么做、为什么不能用 PyPDF2、以及实际可落地的方案：

为什么 `PyPDF2` 无法实现数字签名

PyPDF2 没有内置 ASN.1 编码、CMS 签名构造、证书嵌入、时间戳服务对接等能力。它的 add_password() 方法只是往 PDF 的 /Encrypt 字典里写密钥参数，属于“文档级密码保护”，和 CA 颁发证书、私钥签名、验证身份的“数字签名”完全不是一回事。

常见误操作现象：

调用 encrypt() 后用 Adobe Reader 显示“已签名”——其实是假象，实际没签名字段，也过不了国密/ETSI 验证
试图用 PyPDF2 + cryptography 手动拼签名字节——会破坏 PDF 结构，导致文件损坏或签名无效

用 `pypdf` 实现 AES-256 文档加密（替代 PyPDF2）

pypdf 是 PyPDF2 的活跃维护分支，支持现代加密标准，API 兼容但更可靠。

实操建议：

安装：pip install pypdf（卸载 PyPDF2 避免冲突）
加密必须在保存前调用 encrypt()，且仅对新生成或已解密的 PDF 有效
使用 use_128bit=False 可启用 AES-256（默认为 True 表示 128-bit RC4/AES）
密码为空字符串 "" 表示“无打开密码”，但可设权限密码限制打印/编辑

from pypdf import PdfReader, PdfWriter
reader = PdfReader("input.pdf")
writer = PdfWriter()
for page in reader.pages:
writer.add_page(page)
AES-256 加密：需指定 owner password，user password 可为空
writer.encrypt(user_password="", owner_password="secret123", use_128bit=False)
with open("output_encrypted.pdf", "wb") as f:
writer.write(f)

用 `endesive` 添加合规数字签名（含证书+时间戳）

这是目前 Python 中最轻量、可直接跑通 PAdES-BES 签名的方案，依赖 OpenSSL 和本地证书文件。

关键点：

需要 PEM 格式私钥（key.pem）和证书链（cert.pem），不可用 PFX/P12 直接加载
签名位置默认加在文档末尾，不影响原文内容流；Adobe Reader 能识别并显示“签名者：xxx”
若要权威时间戳，需配置 RFC 3161 时间戳服务器 URL（如 https://freetsa.org/tsr）
sign() 返回的是完整 PDF 字节，必须用 open(..., "wb") 保存，不能用文本模式

from endesive import pdf
with open("input.pdf", "rb") as f:
data = f.read()
签名配置（注意路径和密码）
clt = pdf.CMS()
clt.sign(
data,
"cert.pem",        # 证书链
"key.pem",         # 私钥（需明文或提供密码）
[],
"sha256",
None,              # 时间戳服务器 URL，None 表示不加时间戳
)
with open("output_signed.pdf", "wb") as f:
f.write(clt.signed_data)