Headless-Signatur-Seed-Beschränkungen
SignToFile und SignPFXToFile lösen das SV-Dictionary des Signaturfelds über seine Elternkette auf und validieren erforderliche Seed-Werte, bevor der signierte Output veröffentlicht wird
Das Signaturprofil beachtet erforderliche Adobe.PPKLite-Behandlung, adbe.pkcs7.detached- oder ETSI.CAdES.detached-Kodierung, Seed-Fähigkeitsversionen 1 bis 3, SHA256/SHA384/SHA512-Auswahl, Signaturgründe, Approval-gegenüber-Zertifizierungs-MDP-Werte und authentifizierte RFC-3161-Zeitstempel
Setze THPDFHeadlessCMSOptions.DigestMethod und Reason, um den entsprechenden tatsächlichen CMS-Digest und den signature-Reason-Eintrag zu wählen; eine erforderliche Ein-Punkt-Reason-Liste unterdrückt den Reason-Eintrag
Ein erforderlicher LockDocument-true-Wert schreibt einen wirksamen FieldMDP-All-Transform; ein erforderlicher false-Wert verwirft ein konfligierendes All-Feld-Lock
LegalAttestation-Seed-Beschränkungen gelten für Zertifizierungssignaturen; LegalAttestation wählt eine erlaubte Unicode-Klarstellung für das Standard-Catalog-Legal/Attestation-Dictionary und bewahrt bestehende rechtliche Inhaltsdetails
Approval-Signaturen ignorieren reine Zertifizierungs-LegalAttestation-Seed-Beschränkungen; das Liefern einer rechtlichen Klarstellung mit einer Approval-Anforderung wird abgelehnt
Zertifikatsbeschränkungen
HPDFReadHeadlessCertificatePolicy liest das SVCert-Modell, und HPDFValidateHeadlessCertificatePolicy bewertet es gegen das tatsächliche Leaf-Zertifikat und intermediäre PEM-Zertifikate
| Beschränkung | Erforderliches Verhalten |
|---|---|
| Subject | Das Leaf passt zu genau einem vollständigen DER-Zertifikat |
| Issuer | Eine kryptografisch gültige, aktuell gültige direkte oder indirekte Kette erreicht einen erlaubten Issuer; ein erlaubtes Intermediate kann die Kette abschließen |
| OID | Jede konfigurierte Policy-OID kommt in der policies-Extension des Leaf-Zertifikats vor; diese Beschränkung greift, wenn Issuer geliefert wird |
| SubjectDN | Eine Alternative enthält Attribute, die zum Leaf-Subject passen; zusätzliche Leaf-Attribute sind erlaubt, mit X.509-kanonischem Vergleich und Unicode-Unterstützung |
| KeyUsage | Eine bestehende Extension passt zu einem akzeptablen Neun-Positionen-Muster; 0 verlangt ein nicht gesetztes Bit, 1 ein gesetztes Bit, und andere oder fehlende Zeichen sind Wildcards |
| URL | CredentialSourceURL entspricht der konfigurierten Enrollment-URL, wenn erforderlich |
Der Zertifikatsbeschränkungsabgleich nutzt die Seed-Issuer als explizite Enrollment-Beschränkungen; gewöhnlicher CMS-Business-Trust bleibt separat über TrustedCAFile gesteuert
CredentialSourceURL ist Provenienz, die die Anwendung liefert, die die Signaturidentität beschafft hat; die Bibliothek führt keine Enrollment-Netzwerkanforderungen aus und kann diese Provenienz nicht aus X.509-Bytes ableiten
TimestampServerURL identifiziert den von Timestamp.Transport gerouteten Endpoint; erforderliche Zeitstempel durchlaufen zusätzlich echte Imprint-, Nonce-, TSA-Zertifikats- und Trust-Validierung
Grenzen
Erforderliches AddRevInfo true verlangt UseAdobeRevocationInfo mit authentifizierter Evidence und einer expliziten Trusted-CA-Datei; erforderliches false verwirft dieses Profil, und optionale Werte überschreiben das gewählte Profil nicht
Das Adobe-Attribut enthält CRLs und BasicOCSPResponse-Werte als Signed-Attributes; alle Signer- und enthaltenen TSA-Ketten müssen aktuell gültige authentifizierte Revocation-Abdeckung haben, bevor der Output veröffentlicht wird
Ein erforderlicher nichtleerer AppearanceFilter muss zum eingebauten Profil passen, das SetSignatureFieldAppearance in der aktuellen Dokumentinstanz tatsächlich gewählt hat; unbekannte, ersetzte oder lediglich neu geladene Profilmetadaten erfüllen die Beschränkung nicht
Fehlerhafte Dictionarys, doppelte semantische Schlüssel, fehlerhaftes DER oder PEM, reservierte Zertifikats-Flags, Budget überschreitende Beschränkungen und Abbruch erzeugen Fehler, ohne ein bestehendes Output zu ersetzen
Eigenständige Zertifikatspolicy-Optionen begrenzen Gesamtzertifikatsbytes, aggregierte Beschränkungsbytes, Einträge und Kettenzertifikate; das Ergebnis trennt gelieferte und passende Flags von Accepted