PDF 水印和数字签名解决的是不同的文档安全问题。水印通过在 PDF 中添加可见或隐藏信息来传达所有权、机密性、状态或收件人身份。数字签名利用密码学帮助验证谁签署了文档，以及签署后的内容是否发生变化。许多安全工作流会同时使用二者，因为它们不能相互替代。
引言
水印和数字签名经常被放在一起讨论，因为二者都可能出现在受保护的 PDF 工作流中。但它们的工作方式不同，回答的问题也不同。
水印可以显示“机密”、公司徽标或预期收件人信息。其主要价值在于传达信息、形成威慑以及区分副本。数字签名则在已签署 PDF、签署者凭据和签署时的文档状态之间建立密码学关系。
实际问题是，哪一种控制措施符合需求：收件人识别、签署者验证、变更检测还是机密性。
什么是 PDF 水印？
PDF 水印会在 PDF 的一个或多个页面中添加文本、图像、徽标、收件人信息、日期、参考编号或追踪代码。
常见示例包括：
- 机密
- 仅限内部使用
- 草稿
- 版权或所有权信息
- 公司徽标
- 收件人姓名或电子邮件地址
- 发布日期
- 唯一追踪代码或参考代码
水印可以在所有副本中保持相同，也可以针对每位收件人进行个性化。它可以只出现一次、在页面中重复，或应用于每个相关页面。
可见水印直接向阅读者传达信息。不可见或取证水印可能携带需要专用工具才能检测的标识符。水印可以支持威慑和可追溯性，但不能证明文档未被修改，也无法阻止所有截屏、拍照或移除尝试。
基础说明请参阅[什么是 PDF 水印？](/resources/articles/what-is-pdf-watermarking/)。
PDF 中的数字签名是什么？
PDF 数字签名使用密码学方法，将签署者与文档的特定状态关联起来。签署过程通常会为相关 PDF 内容创建哈希，并使用签署者的私钥保护签名数据。兼容的 PDF 阅读器随后可以使用关联的公钥证书验证签名。
有效签名可以帮助回答：
- 谁签署了文档？
- 根据收件人的验证策略，签署者证书是否可信？
- 签署后的内容是否发生变化？
- 证书在相关时间是否有效？
- 是否提供时间戳或吊销信息？
数字签名不同于扫描的手写签名或输入的姓名。可视签名图像可以表示意图或外观，但其本身不提供密码学完整性验证。
数字签名的确切法律效力取决于司法管辖区、证书类型、身份验证过程、政策和证据。技术有效性不应自动被描述为普遍适用的法律强制力。
水印与数字签名的主要区别
| 特征 | PDF 水印 | 数字签名 |
|---|---|---|
| 主要目的 | 信息传达、威慑和副本识别 | 签署者认证和完整性验证 |
| 常见外观 | 可见文本、徽标、收件人数据或隐藏标识符 | 签名面板、签名字段或验证状态 |
| 检测后续变更 | 本身不能 | 可以，在已签署范围内 |
| 识别预期收件人 | 个性化时可以 | 通常不能 |
| 验证文档签署者 | 不能 | 可以，取决于证书信任 |
| 限制未经授权的打开 | 不能 | 不能 |
| 威慑转发 | 可以，尤其是收件人专属水印 | 不能直接实现 |
| 需要证书 | 不需要 | 通常需要 |
| 作为可见处理提示 | 可以 | 不是主要用途 |
| 可针对每个副本不同应用 | 可以 | 可以，但不是主要用途 |
这两种技术相互补充。水印关注文档应如何处理以及发放的是哪一个副本。数字签名关注谁进行了签署，以及签署内容是否保持完整。
文档完整性与变更检测
数字签名用于检测签署内容在签署后是否发生变化。根据签名类型和文档权限，PDF 阅读器可能将签名报告为有效、无效，或在允许的变更下仍然有效。
水印本身并不保护完整性。即使内容已被修改，文档仍可能保留相同的可见水印。水印显示的是信息或标识符，而不是文档状态的密码学证明。
当完整性很重要时，请使用数字签名。当收件人身份或处理说明必须保持可见时，请使用水印。当二者都重要时，请按照正确的处理顺序组合使用。
处理顺序很重要
操作顺序会影响签名有效性。
如果 PDF 先进行数字签名，再添加水印，由于文档在签署后发生变化，这项修改可能使签名失效。
常见顺序如下：
- 准备已批准的文档。
- 添加所需的固定或个性化水印。
- 如果签名工作流支持，应用加密或权限设置。
- 对文档最终状态进行数字签名。
- 验证签名和最终输出。
- 通过批准的渠道交付文件。
某些高级 PDF 工作流允许签署后的特定修改，但这取决于认证签名、允许的操作和阅读器行为。不要假设签署后的任何修改都会被接受。
数字签名会使 PDF 保密吗？
不会。数字签名通常不能阻止未经授权的打开。它有助于验证签署者身份和完整性，但获得未加密签名 PDF 的人仍可能读取内容。
如果机密性要求在打开前使用密码、证书或访问控制系统，请使用加密。
因此，多层工作流可以使用：
- 加密用于访问控制
- 数字签名用于签署者认证和完整性
- 可见水印用于表示机密性或所有权
- 个性化水印用于识别收件人
- 受控交付和日志用于提供分发证据
有关访问保护的更多信息，请阅读[什么是 PDF 加密？](/resources/articles/what-is-pdf-encryption/)。
有关更完整的交付生命周期，请参阅[什么是安全文档分发？](/resources/articles/what-is-secure-document-distribution/)。
水印更适合的情况
当目标包括以下内容时，水印通常是更合适的主要控制措施：
- 将文档标记为机密、内部、草稿或样本
- 显示所有权或版权信息
- 识别预期收件人
- 从一个主文档创建可区分的副本
- 威慑随意转发
- 保持处理说明可见
- 添加发布日期、参考信息或追踪代码
- 通过将发现的副本与记录关联来支持调查
水印在重复分发或个性化分发中特别有用。它可以应用于合同、报告、培训材料、付费文档和客户专属文件，而无需收件人理解证书验证。
数字签名更适合的情况
当目标包括以下内容时，数字签名通常是更合适的主要控制措施：
- 验证谁签署或批准了 PDF
- 检测签署后的变更
- 证明文档的特定状态已被签署
- 支持正式审批工作流
- 验证组织或个人签名凭据
- 使用可信时间戳或吊销信息
- 在交换或归档时提供完整性证据
仅仅因为 PDF 阅读器显示签名字段，并不意味着数字签名自动可信。收件人应评估证书信任、签署者身份、验证状态、时间戳信息以及阅读器显示的警告。
水印、数字签名与加密
不要混淆这三种控制措施。
| 安全问题 | 合适的控制措施 |
|---|---|
| 谁签署了 PDF？ | 数字签名 |
| 签署内容是否发生变化？ | 数字签名 |
| 此副本发放给谁？ | 个性化水印 |
| 文档是否为机密或内部文件？ | 可见水印 |
| 未经授权的人能否打开？ | 加密或访问控制 |
| 文件如何交付？ | 安全文档分发记录 |
| 访问能否到期？ | 托管门户或受控链接 |
完整的安全计划可以同时使用三者，但每一种都应具有明确角色。
最佳实践
- 明确目标是信息传达、收件人识别、真实性、完整性还是机密性。
- 在应用最终数字签名前添加水印。
- 使用准确反映文档政策的可见文字。
- 仅使用必要的收件人数据进行个性化。
- 验证每个相关页面都包含预期水印。
- 使用经批准签名流程中的证书。
- 确认签署者身份和证书信任。
- 检查签名验证警告。
- 存在未经授权打开风险时，单独使用加密。
- 在支持的阅读器中测试最终 PDF。
- 保留已批准源文件和已签署最终输出。
- 保留生成、签署和交付记录。
- 不要声称水印能阻止所有复制。
- 不要将技术签名有效性描述为具有普遍法律效力。
常见问题
PDF 可以同时包含水印和数字签名吗？
可以。请在最终签名前应用水印，使已签署的文档状态包含该水印。
数字签名会阻止复制 PDF 吗？
不会。它验证签署者身份和完整性。加密、权限、受控交付和水印用于处理其他风险。
水印会使数字签名失效吗？
会。在签署后添加或修改水印会改变 PDF，并可能使签名失效。
水印和数字签名哪一个更安全？
二者解决的问题不同，因此不存在普遍更安全的一方。数字签名保护真实性和完整性。水印支持信息传达、威慑和副本识别。
结论
PDF 水印与数字签名是互补而非竞争的技术。水印添加可见或隐藏信息，用于传达所有权、机密性、状态或收件人身份。数字签名帮助验证签署者并检测签署内容的变化。
当主要需求是收件人识别、可见处理说明或威慑时，请选择水印。当必须验证真实性和完整性时，请选择数字签名。当必须限制未经授权的打开时，请使用加密。
最强的工作流会分别定义每个目标，按照正确顺序应用控制措施，并在交付前验证最终文档。这可以避免将某项功能用于其设计目的之外的场景。