PDF 签署、盖章与分发溯源

顺序就是全部的安全模型

本工作流的一切都源自一个事实——证书签名把文件冻结在签署那一刻。顺序一错，各项保护就会互相吞噬——封印后再涂销，签名破了；封印后再盖章，验证挂了。正确顺序是涂销、可见签名、证书封印、状态章、溯源 ID，这不是建议而是纪律。照此办理的文档能证明它当时是什么、谁签的、哪份副本泄露、封印之后有没有被动过；不照此办理的文档一样也证明不了。

涂销靠重建，不靠遮盖

经典的涂销事故不是忘了涂，而是用遮盖代替了移除。画一个框、压一张图、甚至抹一层黑色高亮，文字都还在文档的文本层里——搜索和复制照样找得到，任何拿着 PDF 编辑器的人都能掀开盖子。这里的涂销工具走的是耐久的路——把受影响页面光栅化后重建，不带被删内容——因此验收标准也是绝对的——对输出检索任何一条被涂短语，一无所获。整张涂销清单一次做完，因为封印之后的第二轮涂销要付出重新签名的代价。

两个签名，一次封印

可见签名块与 PAdES 证书签名回答的是不同的问题。可见块回答"看起来是谁签的"——姓名、图像、一眼可核的日期——满足多数机构仍然期待落在纸面上的形式要件。证书签名回答"签署之后有没有被动过"——对文档字节做的一句密码学声明，多年之后验证工具仍能复核。正式文档两者都要，而且顺序讲究——可见签名是内容，证书封印随后把它一并盖住。反过来签，证书签名就自我作废。

章声明状态，痕认定归属

文档封印之后，一切新增都叠在它上面。状态章——REVIEWED、CONFIDENTIAL、DRAFT——把文档状态写在纸面上，给那些不会去翻签名面板的读者看，位置要不遮挡正文。分发溯源做的是更安静的工作——每份副本一个近隐形 ID，登记表里对应收件人，副本在不该出现的地方现身时回读认主。泄露的截图也许匿名，它背后的文件不匿名。

本工作流到哪里为止

本页从成品 PDF 开始，到每份封印、盖章、带溯源的副本抵达收件人之手为止。周围的事各有归属——文档的生产属于模板文档与 PDF 生成工作流，内容提取与转换属于转换工作流，打印准备属于打印排版工作流，转 PDF/A 的长期归档与无障碍检查属于归档与信任工作流——那边的日常签名核验与本页的深度链审计互为补充。收到的先验证，发出的先封印，每个阶段交还给拥有它的那个工作流。