pdf_verify.go

package gokalkan

import (
	"bytes"
	"errors"
	"fmt"
	"time"

	"github.com/digitorus/pdf"
)

// ErrNoPDFSignatures возвращается VerifyPDF, если в документе нет ни одной
// подписи (аналог NoSignaturesFoundException в NCANode).
var ErrNoPDFSignatures = errors.New("gokalkan: pdf document contains no digital signatures")

// PDFSignerInfo - информация об одной подписи в PDF документе.
type PDFSignerInfo struct {
	Valid bool
	// Reason/Location/ContactInfo - nil, если соответствующий ключ подписи
	// отсутствует в PDF (не то же самое, что пустая строка - см. IsNull() у
	// pdf.Value), указатель на "" - если ключ присутствует, но пуст.
	Reason      *string
	Location    *string
	ContactInfo *string
	SignDate    time.Time
	// VerifyInfo - человекочитаемый отчёт нативной проверки (см. Verify/
	// VerifyDetached), пусто если Valid == false из-за ошибки более
	// раннего этапа (например, битые /ByteRange).
	VerifyInfo string
	// SubFilter - значение /SubFilter словаря подписи (например
	// "ETSI.CAdES.detached") - формат самой подписи на уровне PDF.
	SubFilter string
	// CMS - сырые байты подписи (значение /Contents, detached CMS) - для
	// извлечения сертификата подписанта см. Client.GetCertFromCMS.
	CMS []byte
}

// VerifyPDF проверяет все подписи в PDF документе (по /ByteRange и /Contents
// каждого поля подписи). Возвращает ErrNoPDFSignatures, если подписей нет.
func (cli *Client) VerifyPDF(pdfData []byte) (allValid bool, signers []PDFSignerInfo, err error) {
	rdr, err := pdf.NewReader(bytes.NewReader(pdfData), int64(len(pdfData)))
	if err != nil {
		return false, nil, fmt.Errorf("gokalkan: read pdf: %w", err)
	}

	sigs := findAllSignatureValues(rdr)
	if len(sigs) == 0 {
		return false, nil, ErrNoPDFSignatures
	}

	allValid = true

	for _, sig := range sigs {
		info, verifyErr := cli.verifyOnePDFSignature(pdfData, sig.val)
		if verifyErr != nil {
			info.VerifyInfo = verifyErr.Error()
			info.Valid = false
		}

		if !info.Valid {
			allValid = false
		}

		signers = append(signers, info)
	}

	return allValid, signers, nil
}

func (cli *Client) verifyOnePDFSignature(pdfData []byte, v pdf.Value) (PDFSignerInfo, error) {
	info := PDFSignerInfo{
		Reason:      textOrNil(v.Key("Reason")),
		Location:    textOrNil(v.Key("Location")),
		ContactInfo: textOrNil(v.Key("ContactInfo")),
		SubFilter:   v.Key("SubFilter").Name(),
	}

	if m := v.Key("M"); !m.IsNull() {
		if t, err := parsePDFDate(m.Text()); err == nil {
			info.SignDate = t
		}
	}

	byteRange, err := byteRangeOf(v)
	if err != nil {
		return info, err
	}

	b0, l0, b1, l1 := byteRange[0], byteRange[1], byteRange[2], byteRange[3]
	if b0 < 0 || l0 < 0 || b1 < 0 || l1 < 0 || b0+l0 > int64(len(pdfData)) || b1+l1 > int64(len(pdfData)) {
		return info, fmt.Errorf("gokalkan: byte range out of bounds")
	}

	content := make([]byte, 0, l0+l1)
	content = append(content, pdfData[b0:b0+l0]...)
	content = append(content, pdfData[b1:b1+l1]...)

	cms := []byte(v.Key("Contents").RawString())
	if len(cms) == 0 {
		return info, fmt.Errorf("gokalkan: empty signature contents")
	}
	info.CMS = cms

	verifyInfo, err := cli.VerifyDetached(cms, content)
	if err != nil {
		return info, err
	}

	info.Valid = true
	info.VerifyInfo = verifyInfo

	return info, nil
}

func textOrNil(v pdf.Value) *string {
	if v.IsNull() {
		return nil
	}

	text := v.Text()

	return &text
}

// parsePDFDate парсит формат даты подписи PDF: (D:YYYYMMDDHHmmSSOHH'mm').
func parsePDFDate(v string) (time.Time, error) {
	return time.Parse("D:20060102150405Z07'00'", v)
}