pdfbox 中的数字签名默认为“批准签名”，它不阻止文档修改，但任何修改都会使签名失效；若需允许编辑后仍保持签名有效，必须使用“认证签名”并设置 mdp 级别（如 level 2），但该功能在 pdfbox 3.x+ 中需手动注入权限字典，且 adobe acrobat 会严格限制编辑行为。
pdfbox 中的数字签名默认为“批准签名”，它不阻止文档修改，但任何修改都会使签名失效；若需允许编辑后仍保持签名有效，必须使用“认证签名”并设置 mdp 级别（如 level 2），但该功能在 pdfbox 3.x+ 中需手动注入权限字典，且 adobe acrobat 会严格限制编辑行为。
在 Apache PDFBox 中，对签名类型与文档修改权限的关系存在常见误解：“批准签名”（approval signature）本身并不赋予文档可编辑性，它仅表示签署者认可当前内容；而真正控制后续修改能力的是“认证签名”（certification signature）及其关联的 MDP（Modification Detection and Prevention）策略。
根据 PDF 规范（ISO 32000-1, §12.8.1），只有认证签名可指定 DocMDP 权限字典，并通过 TransformMethod 和 P 值（0–3）定义允许的变更类型：
- P = 1：仅允许填写表单字段、签名和注释；
- P = 2：额外允许表单字段值更新（即“表单填写”模式）；
- P = 3：仅允许注释、签名和时间戳（最严格）；
- P = 0：无限制（不推荐，多数阅读器拒绝）。
⚠️ 关键事实：
- 批准签名（如您代码中使用的 PDSignature 默认行为）不包含 DocMDP 字典，因此不声明任何修改策略——其签名在任意字节变更后即失效，且 Adobe Acrobat 会主动禁用编辑功能，视为“已锁定文档”。
- PDFBox 2.x 不直接支持创建认证签名；PDFBox 3.0+ 引入了 PDDocument.saveIncrementalForCertification() 和 setCertificationLevel() 方法，但需配合 PDSignature.setCertification(true) 及显式权限配置。
以下是在 PDFBox 3.0.2+ 中创建 Level 2 认证签名（允许表单填写与文本编辑）的最小可行示例：
public void signWithCertification(PDDocument document, OutputStream output, PrivateKey key,
Certificate[] certChain, String reason) throws IOException {
// 创建认证签名对象
PDSignature signature = new PDSignature();
signature.setType(COSName.SIG);
signature.setFilter(PDSignature.FILTER_ADOBE_PPKLITE);
signature.setSubFilter(PDSignature.SUBFILTER_ADBE_PKCS7_DETACHED);
signature.setName("Certified by System");
signature.setReason(reason);
signature.setLocation("Server");
signature.setSignDate(Calendar.getInstance());
signature.setCertification(true); // ⚠️ 必须设为 true 才启用认证模式
// 添加签名前，必须先设置文档级权限（MDP）
COSDictionary permissions = new COSDictionary();
permissions.setInt(COSName.P, 2); // 允许表单填写 + 注释 + 签名
permissions.setItem(COSName.TYPE, COSName.getPDFName("SigPermissions"));
// 将权限字典挂载到文档根节点（/Perms → /DocMDP）
COSDictionary root = document.getDocumentCatalog().getCOSObject();
COSDictionary permsDict = new COSDictionary();
permsDict.setItem(COSName.DOC_MDP, permissions);
root.setItem(COSName.PERMS, permsDict);
// 执行签名（注意：必须用 saveIncrementalForCertification）
document.addSignature(signature, this);
document.saveIncrementalForCertification(output); // ✅ 关键：非 saveIncremental()
}? 注意事项：
- Adobe Acrobat 是事实标准：即使 PDF 规范允许 P=2 下编辑文本，Acrobat 实际仅允许修改 AcroForm 表单域（如文本框、复选框），无法直接编辑自由文本或图像。所谓“编辑文本”需将目标内容预先设计为可填写表单字段（PDTextField）。
- 签名不可见 ≠ 无权限：本方案生成的是非可见认证签名，签名面板仍显示“已认证”，但页面无视觉标记。
- 增量保存是必需的：saveIncrementalForCertification() 确保签名字典置于文件末尾且不破坏原始结构，这是认证机制生效的前提。
- 验证兼容性：使用 pdfsig（PDFBox 工具）或 Adobe Acrobat 的“签名面板”验证时，应显示“文档已认证，允许表单填写”而非“签名已损坏”。
✅ 总结：您原代码的问题不在于签名逻辑错误，而在于混淆了“批准签名”与“认证签名”的语义本质。若业务场景要求用户后续编辑文本，请将内容重构为 PDF 表单字段，并使用 P=2 认证签名；若需完全自由编辑，则无法在保留有效签名的前提下实现——此时应考虑工作流分离：签名前完成所有编辑，或采用时间戳+哈希存证等替代方案。
