DSS电子签名工具6.3.RC1版本技术解析

项目概述

DSS（Digital Signature Service）是欧盟委员会开发的一套开源的电子签名工具集，它提供了创建、扩展和验证各种电子签名格式（如PAdES、CAdES、XAdES、JAdES等）的功能。该项目遵循欧盟电子签名标准，支持多种签名策略和验证流程，广泛应用于政府机构和企业级应用中。

核心功能更新

证据记录（Evidence Record）支持

6.3.RC1版本在证据记录处理方面进行了多项增强：

1. 嵌入式证据记录验证：新增了对嵌入在签名中的证据记录（ER）的验证能力。证据记录是一种长期保存签名有效性的机制，可以确保即使签名证书过期后，签名仍然能被验证。

2. 证据记录封装：现在可以将现有的证据记录封装到ASiC容器中，这为长期签名验证提供了更灵活的存储方案。

3. 签名创建限制：系统现在会检查签名中是否已存在证据记录，防止基于已有证据记录创建无效的新签名。

密码学套件支持

新增了对ETSI TS 119 312密码学套件模式的支持。这些机器可读的模式定义文件使得系统能够更准确地理解和应用各种密码学标准，提高了签名验证的精确度和灵活性。

信任列表（TL）验证增强

1. TL结构验证约束：新增了对信任列表结构的验证约束，确保加载的信任列表符合规范要求。

2. 宽松解析模式：在TL解析过程中引入了宽松验证模式，提高了对非标准但可用的信任列表的兼容性。

技术改进与优化

大文件处理能力

1. CAdES大文件签名：通过新的流式处理机制，现在可以处理大型文档的CAdES签名，解决了内存限制问题。

2. XML规范化改进：XMLCanonicalizer新增了直接输出到指定流的方法，优化了大型XML文档的处理效率。

LDAP连接增强

1. 主机名验证：现在可以配置允许的LDAP主机名列表，增强了连接安全性。

2. 环境配置：支持自定义LDAP上下文环境配置，提高了与不同LDAP服务的兼容性。

验证报告增强

1. 签名过期日期：在简单报告(XSLT/PDF模板)中新增了签名过期日期的显示，方便用户了解签名有效期。

2. 加密信息元素：改进了ETSI验证报告中的CryptoInformation元素处理，更好地支持多签名证书引用情况。

问题修复

1. CMS签名时间处理：修复了当存在多个签名时间时返回错误值的问题。

2. 撤销检查策略：修正了LTV过程中未正确应用RevocationIssuerNotExpired策略约束的问题。

3. JAdES签名证书识别：修复了xVals条目未被正确识别为签名证书候选的问题。

4. PDF签名域创建：解决了在PDF页面坐标值为负时无法创建可视化签名域的问题。

5. 对象修改检测：修正了签名验证中对"未定义对象修改"的错误识别问题。

架构调整与依赖更新

1. 模块重构：引入了新的dss-cms-object和dss-cms-stream模块，提供了两种不同的CMS处理实现方式：

   • dss-cms-object：基于BouncyCastle的内存处理方式，保持向后兼容
   • dss-cms-stream：基于流的实验性实现，支持大文件处理

2. 依赖升级：

   • BouncyCastle升级至v1.81
   • Apache Santuario升级至v3.0.6
   • PdfBox升级至v3.0.5

迁移注意事项

1. 策略依赖：使用默认验证流程或自定义XML验证策略的项目需要显式添加dss-policy-jaxb依赖。

2. CMS处理选择：项目需要在dss-cms-object和dss-cms-stream之间选择一种实现方式，不能同时使用两者。

3. 大文件测试：新增了专门用于大文件测试的执行profile，方便进行性能测试。

总结

DSS 6.3.RC1版本在证据记录处理、大文件支持和安全性方面做出了重要改进，同时通过模块化重构提高了系统的灵活性和可扩展性。这些变化使得DSS能够更好地满足现代电子签名应用的需求，特别是在处理复杂签名场景和大规模文档时表现更为出色。开发者在迁移时需要注意模块依赖的变化，根据应用场景选择合适的CMS处理实现方式。