Headless Signature Seed Constraints
SignToFile 与 SignPFXToFile 沿父链解析签字段 SV 字典，并在发布签名输出前验证必需种子值
签名 profile 遵循必需的 Adobe.PPKLite 处理、adbe.pkcs7.detached 或 ETSI.CAdES.detached 编码、1 到 3 的种子能力版本、SHA256/SHA384/SHA512 选择、签名原因、approval 与 certification 的 MDP 值，以及经认证的 RFC 3161 时间戳
设置 THPDFHeadlessCMSOptions.DigestMethod 与 Reason 来选择对应实际 CMS 摘要和签名 Reason 条目；必需的单值原因列表会抑制 Reason 条目
必需 LockDocument true 写入生效的 FieldMDP All transform；必需 false 时拒绝冲突的全字段锁
LegalAttestation 种子约束适用于认证签名；LegalAttestation 为标准 Catalog Legal/Attestation 字典选择一个允许的 Unicode 说明，保留既有法律内容细节
approval 签名忽略仅认证可用的 LegalAttestation 种子约束；approval 请求附带法律说明会被拒绝
证书约束
HPDFReadHeadlessCertificatePolicy 读取 SVCert 模型，HPDFValidateHeadlessCertificatePolicy 针对实际叶子证书和中间 PEM 证书求值
| 约束 | 必需行为 |
|---|---|
| Subject | 叶子证书匹配一个完整 DER 证书 |
| Issuer | 密码学有效且当前有效的一条直接或间接链到达允许的签发者；允许的中间证书可以终止链 |
| OID | 每个配置的策略 OID 都出现在叶子证书策略扩展中；提供 Issuer 时该约束生效 |
| SubjectDN | 某个备选项包含匹配叶子 subject 的属性；允许叶子有额外属性，使用 X.509 规范比较并支持 Unicode |
| KeyUsage | 既有扩展匹配一个可接受的九位模式；0 要求未置位，1 要求置位，其他或缺失字符为通配 |
| URL | 必需时 CredentialSourceURL 等于配置的注册 URL |
证书约束匹配把种子 issuers 当作显式注册约束；普通 CMS 业务信任仍由 TrustedCAFile 单独控制
CredentialSourceURL 是获得签名身份的应用提供的来源信息；库不发起注册网络请求，也无法从 X.509 字节推导该来源
TimestampServerURL 标识 Timestamp.Transport 路由的端点；必需时间戳另需通过真实的 imprint、nonce、TSA 证书和信任验证
边界
必需 AddRevInfo true 要求 UseAdobeRevocationInfo 配合经认证证据和显式可信 CA 文件；必需 false 拒绝该 profile，可选值不覆盖所选 profile
Adobe 属性把 CRL 和 BasicOCSPResponse 值作为签名属性携带；全部签名者与所含 TSA 链必须在输出发布前有当前有效的经认证吊销覆盖
必需非空 AppearanceFilter 必须匹配 SetSignatureFieldAppearance 在当前文档实例中实际选择的内置 profile；未知、已替换或仅重新加载的 profile 元数据不满足该约束
畸形字典、重复语义键、畸形 DER 或 PEM、保留证书标志、超预算约束和取消产生失败，且不替换既有输出
独立证书策略选项约束证书总字节、聚合约束字节、条目数和链证书；结果把 provided 与 matched 标志同 Accepted 分开报告