签名文件处理方法、装置、计算设备及存储介质与流程

1.本发明涉及电子签名技术领域，具体涉及一种签名文件处理方法、装置、计算设备及存储介质。


背景技术：

2.电子签名技术的应用能够实现签名信息的电子化，将原有的线下纸质签字盖章改为线上签字盖章，不仅减少了人员跑路，同时节约大量打印用纸，绿色环保，对实现企业无纸化、降低成本、绿色办公有重要意义。
3.一般是将签名人的身份证号码、姓名、证书颁发机构、签名人的公钥、经过私钥签名的个人签名信息一同放入到签名文件的头部，用于打开该签名文件时，可以判断个人签名信息的有效性，具备签名不可抵赖、签名文档不可篡改等好处，能够广泛应用于电子合同、电子订单、会议纪要、文档签发、电子文档存档等多种场景。
4.电子签名信息包含了签名人的数字证书(公钥)、签名信息、签名的图片、签名时间等信息，这此信息均需要记录到文件头中，当用户打开文件时，使用工具(如adobe pdf acrobat)在打开文件的同时，需要计算文件hash值，同时使用用户数字证书的公钥进行校验，以判断出用户签名是否有效、文件是否被篡改过，然后再以签名图形的方式展示给用户。
5.其中，利用工具打开签名文件时，均需要完成以下步骤：(1)计算原文件的hash值；(2)读取用户数字证书中的公钥；(3)读取用户签名，如通过用户私钥签名的文件hash值；(4)读取用户签名的展示图片；(5)通过公钥解密用户签名，得到用户签名中的hash值；(6)比较步骤(1)得到的原文件hash值和步骤(5)得到的用户签名的hash值是否相等，以此来判断用户签名的有效性；(7)若判断得到用户签名具有有效性，则展示用户的签名图片。
6.每一次的用户签名，工具均要读取大量数据和进行计算，需要消耗不少的时间。当签名文件有超过100个签名时，那么打开这个签名文件则可能需要10分钟以上，签名越多，打开时间越长，而且打开时间是非线性增长。而且每当一个文件增加一个人的签名，就需要在文件中增加签名的数字证书、签名数据、签名的展示图片。当签名文件有超过100个签名时，一个1m的原文件，签名后大小会达到50m左右，文件占用空间会扩大到50倍以上。
7.由此可见，当一个签名文件中的签名人较多时(特别是大于100个)时，会出现文件打开速度慢、文件占用空间大、不利于传输和使用等问题。另外，由于签名文件一般是pdf格式，根据pdf文件规范，记录签名信息的数据段有一定的长度限制，不能无限制增加签名信息，一般超过250个签名信息后，就不能再写入更多的签名信息，无法再对该文件进行签名。


技术实现要素：

8.鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的签名文件处理方法、装置、计算设备及存储介质。
9.根据本发明的一个方面，提供了一种签名文件处理方法，该方法包括：
10.从用户签名系统获取原文件和多个用户签名信息；
11.根据预先配置的组合签名策略，对多个用户签名信息进行分组，得到多个用户签名分组；
12.针对每个用户签名分组，为该用户签名分组申请组证书，并将该用户签名分组中的签名图片整合至同一图层中，得到组签名图片；
13.利用多个用户签名分组的组证书和组签名图片对原文件进行签名，得到签名文件。
14.根据本发明的另一方面，提供了一种签名文件处理装置，该装置包括：
15.获取模块，适于从用户签名系统获取原文件和多个用户签名信息；
16.分组模块，适于根据预先配置的组合签名策略，对多个用户签名信息进行分组，得到多个用户签名分组；
17.处理模块，适于针对每个用户签名分组，为该用户签名分组申请组证书，并将该用户签名分组中的签名图片整合至同一图层中，得到组签名图片；
18.签名模块，适于利用多个用户签名分组的组证书和组签名图片对原文件进行签名，得到签名文件。
19.根据本发明的又一方面，提供了一种计算设备，包括：处理器、存储器、通信接口和通信总线，处理器、存储器和通信接口通过通信总线完成相互间的通信；
20.存储器用于存放至少一可执行指令，可执行指令使处理器执行上述签名文件处理方法对应的操作。
21.根据本发明的再一方面，提供了一种计算机存储介质，存储介质中存储有至少一可执行指令，可执行指令使处理器执行如上述签名文件处理方法对应的操作。
22.根据本发明提供的技术方案，采用分组签名技术对文件进行签名，所得到的签名文件具有较快的打开速度，且其文件大小得到了有效减少，从而减少了签名文件对存储空间的占用，有效地提高了签名文件的传输速度，还突破了现有单个文件不能超过250个签名信息的限制，有效地解决了现有技术中存在的多个签名带来的文件打开速度慢、文件占用空间大以及签名数量限制的问题；另外，该方案可独立于用户签名系统而执行，解决了当一个文件有多个签名时用户使用的感知问题。
23.上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
24.通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
25.图1示出了根据本发明一个实施例的签名文件处理方法的流程示意图；
26.图2示出了根据本发明一个实施例的签名文件处理装置的结构框图；
27.图3示出了根据本发明实施例的一种计算设备的结构示意图。
具体实施方式
28.下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
29.图1示出了根据本发明一个实施例的签名文件处理方法的流程示意图，如图1所示，该方法包括如下步骤：
30.步骤s101，从用户签名系统获取原文件和多个用户签名信息。
31.该方法可由签名文件处理装置执行，签名文件处理装置可独立于用户签名系统，与用户签名系统对接，签名文件处理装置采用分组签名技术对文件进行签名，有效地解决了现有技术中存在的多个签名带来的文件打开速度慢、文件占用空间大以及签名数量限制的问题。
32.为了保证与用户签名系统之间数据传输的安全性，在步骤s101之前，该方法还可包括：生成第一密钥组和第二密钥组；其中，第一密钥组包括第一公钥和第一私钥，第二密钥组包括第二公钥和第二私钥；将第一公钥和第二私钥发送至用户签名系统，以供用户签名系统利用第二私钥对原文件进行签名，利用第一公钥对原文件进行加密，得到处理后的原文件。
33.其中，可利用预设密钥生成算法，生成两组非对称密钥组，这两组非对称密钥组分别为第一密钥组和第二密钥组，其中，每个密钥组中包含有公钥以及对应的私钥。在生成了第一密钥组和第二密钥组之后，可将第一公钥和第二私钥发送至用户签名系统，以供用户签名系统使用。对于第一私钥和第二公钥，可存储于签名文件处理装置中进行使用。
34.具体地，用户签名系统利用第二私钥对原文件进行签名，利用第一公钥对原文件进行加密，得到处理后的原文件。其中，可依据rsa、elgamal等非对称加密算法，利用第一公钥对原文件进行加密，得到处理后的原文件。当需要多个用户对原文件进行签名时，用户签名系统将处理后的原文件和原文件签名信息发送至签名文件处理装置，申请多签名处理。那么在步骤s101中，接收用户签名系统发送的处理后的原文件和原文件签名信息，接着利用第一私钥对处理后的原文件进行解密，得到原文件，保存原文件，并利用第二公钥进行签名验证，验证原文件签名信息。
35.用户签名系统每当完成一个用户签名，就将用户签名信息发送至签名文件处理装置，其中，用户签名信息包括：签名信息、用户证书、签名身份标识、签名位置、签名图片以及签名时间等信息。签名身份标识具体可为身份证号码、姓名、编号、登录名等用于标识用户身份的信息。在步骤s101中接收用户签名系统发送的多个用户签名信息。
36.步骤s102，根据预先配置的组合签名策略，对多个用户签名信息进行分组，得到多个用户签名分组。
37.当接收到所有用户的用户签名信息之后，即可对多个用户签名信息进行分组。为了能够快速地完成分组，可预先对组合签名策略进行配置。其中，组合签名策略可包括有时间组合方式、最大压缩量组合方式和自动组合方式。具体地，时间组合方式是指按照签字时间，将签字时间相近的用户签名信息划分至同一分组中，将同一分组的用户签名信息整合成一个签名。最大压缩量组合方式是指按照签名身份标识对应的预设字符长度阈值确定划
分至同一分组的用户签名信息的数量；假设预设字符长度阈值为100个字符(即允许的最大字符长度为100个字符)，用户签名信息中的签名身份标识为编号，编号长度为8个字符，那么可将12个用户签名信息整合成一个签名。自动组合方式是指按照多维签字指标，综合地对多个用户签名信息进行分组；其中，多维签字指标可包括：签名总数量、签名身份标识对应的预设字符长度阈值、压缩量和/或签名时间等指标。
38.在步骤s102中，若按照组合签名策略中的时间组合方式进行处理，那么按照签字时间，对多个用户签名信息进行分组，将签字时间相近的用户签名信息划分至同一分组中，从而得到多个用户签名分组。若按照组合签名策略中的最大压缩量组合方式进行处理，那么按照签名身份标识对应的预设字符长度阈值，对多个用户签名信息进行分组，例如依据预设字符长度阈值和用户签名信息中的签名身份标识的字符长度，确定划分至同一分组中的用户签名信息的数量，按照这个数量完成分组，得到多个用户签名分组。若按照组合签名策略中的自动组合方式进行处理，那么按照多维签字指标，对多个用户签名信息进行分组，得到多个用户签名分组。本领域技术人员可根据实际需要设置多维签字指标，此处不做具体限定。
39.步骤s103，针对每个用户签名分组，为该用户签名分组申请组证书，并将该用户签名分组中的签名图片整合至同一图层中，得到组签名图片。
40.按照用户签名分组进行证书申请，签名证书为组证书，该组证书的身份标识包含有该用户签名分组中所有用户签名信息的签名身份标识，如身份证号码、姓名、编号、登录名等。另外，还对该用户签名分组中所有用户签名信息的签名图片进行整合，将该用户签名分组中的签名图片整合至同一图层中，各个签名图片的相关位置和在文件中的相对位置均保持不变。
41.步骤s104，利用多个用户签名分组的组证书和组签名图片对原文件进行签名，得到签名文件。
42.在得到了多个用户签名分组的组证书和组签名图片之后，即可利用多个用户签名分组的组证书和组签名图片对原文件进行签名，得到签名文件。采用本实施例处理得到的签名文件具有较快的打开速度，在多人签名情况下理论上可以提高10倍以上的打开速度。同时，签名文件的文件大小也得到了有效减少，减少了签名文件对存储空间的占用，理论上可以减少90％以上的空间占用。
43.在得到签名文件之后，还可对签名文件进行防篡改校验和加密处理，具体地，可利用原文件、第二公钥以及多个用户签名信息，校验签名文件是否存在修改；若否，校验通过，说明文件未被修改，则利用第二公钥对签名文件进行加密，并利用第一私钥对签名文件进行签名，得到处理后的签名文件，其中，可依据rsa、elgamal等非对称加密算法利用第二公钥对签名文件进行加密。而后将处理后的签名文件发送至用户签名系统。用户签名系统在接收到签名文件处理装置发送的处理后的签名文件之后，利用第二私钥对处理后的签名文件进行解密，并利用第一公钥进行签名验证，校验通过后，签名文件即可以正常使用。
44.在本实施例中，当文件从用户签名系统提交至签名文件处理装置时，第一公钥用于用户签名系统对原文件进行加密，第一私钥用于签名文件处理装置对处理后的原文件进行解密，第二私钥用于用户签名系统对原文件的电子签名，第二公钥用于签名文件处理装置对处理后的原文件的电子签名校验。当文件从签名文件处理装置返回至用户签名系统
时，第一私钥用于签名文件处理装置对签名文件进行电子签名，第一公钥用于用户签名系统对处理后的签名文件的电子签名校验，第二公钥用于对签名文件进行加密，以防止文件内容泄露，第二私钥用于用户签名系统对处理后的签名文件进行解密。
45.根据本实施例提供的签名文件处理方法，采用分组签名技术对文件进行签名，所得到的签名文件具有较快的打开速度，且其文件大小得到了有效减少，从而减少了签名文件对存储空间的占用，有效地提高了签名文件的传输速度，还突破了现有单个文件不能超过250个签名信息的限制，有效地解决了现有技术中存在的多个签名带来的文件打开速度慢、文件占用空间大以及签名数量限制的问题；另外，可独立于用户签名系统而执行，解决了当一个文件有多个签名时用户使用的感知问题。
46.图2示出了根据本发明一个实施例的签名文件处理装置的结构框图，如图2所示，该装置包括：获取模块210、分组模块220、处理模块230和签名模块240。
47.获取模块210，适于从用户签名系统获取原文件和多个用户签名信息。其中，用户签名信息包括：签名信息、用户证书、签名身份标识、签名位置、签名图片以及签名时间。
48.分组模块220，适于根据预先配置的组合签名策略，对多个用户签名信息进行分组，得到多个用户签名分组。
49.处理模块230，适于针对每个用户签名分组，为该用户签名分组申请组证书，并将该用户签名分组中的签名图片整合至同一图层中，得到组签名图片。
50.签名模块240，适于利用多个用户签名分组的组证书和组签名图片对原文件进行签名，得到签名文件。
51.可选地，该装置还包括：密钥生成模块250和发送模块260。
52.密钥生成模块250，适于生成第一密钥组和第二密钥组；其中，第一密钥组包括第一公钥和第一私钥，第二密钥组包括第二公钥和第二私钥。
53.发送模块260，适于将第一公钥和第二私钥发送至用户签名系统，以供用户签名系统利用第二私钥对原文件进行签名，利用第一公钥对原文件进行加密，得到处理后的原文件。
54.可选地，获取模块210进一步适于：接收用户签名系统发送的处理后的原文件；利用第一私钥对处理后的原文件进行解密，得到原文件，并利用第二公钥进行签名验证；接收用户签名系统发送的多个用户签名信息。
55.可选地，分组模块220进一步适于：按照签字时间，对多个用户签名信息进行分组，得到多个用户签名分组；或者，按照签名身份标识对应的预设字符长度阈值，对多个用户签名信息进行分组，得到多个用户签名分组；或者，按照多维签字指标，对多个用户签名信息进行分组，得到多个用户签名分组。
56.可选地，该装置还可包括：校验模块270和加密签名模块280。
57.校验模块270适于：利用原文件、第二公钥以及多个用户签名信息，校验签名文件是否存在修改。
58.加密签名模块280适于：若校验模块270校验得到签名文件未存在修改，则利用第二公钥对签名文件进行加密，并利用第一私钥对签名文件进行签名，得到处理后的签名文件；
59.发送模块260进一步适于：将处理后的签名文件发送至用户签名系统，以供用户签
名系统利用第二私钥对处理后的签名文件进行解密，并利用第一公钥进行签名验证。
60.根据本实施例提供的签名文件处理装置，采用分组签名技术对文件进行签名，所得到的签名文件具有较快的打开速度，且其文件大小得到了有效减少，从而减少了签名文件对存储空间的占用，有效地提高了签名文件的传输速度，还突破了现有单个文件不能超过250个签名信息的限制，有效地解决了现有技术中存在的多个签名带来的文件打开速度慢、文件占用空间大以及签名数量限制的问题；另外，该装置可独立于用户签名系统，解决了当一个文件有多个签名时用户使用的感知问题。
61.本发明还提供了一种非易失性计算机存储介质，计算机存储介质存储有至少一可执行指令，可执行指令可执行上述任意方法实施例中的签名文件处理方法。
62.图3示出了根据本发明实施例的一种计算设备的结构示意图，本发明具体实施例并不对计算设备的具体实现做限定。
63.如图3所示，该计算设备可以包括：处理器(processor)302、通信接口(communications interface)304、存储器(memory)306、以及通信总线308。
64.其中：
65.处理器302、通信接口304、以及存储器306通过通信总线308完成相互间的通信。
66.通信接口304，用于与其它设备比如客户端或其它服务器等的网元通信。
67.处理器302，用于执行程序310，具体可以执行上述签名文件处理方法实施例中的相关步骤。
68.具体地，程序310可以包括程序代码，该程序代码包括计算机操作指令。
69.处理器302可能是中央处理器cpu，或者是特定集成电路asic(application specific integrated circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。计算设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个cpu；也可以是不同类型的处理器，如一个或多个cpu以及一个或多个asic。
70.存储器306，用于存放程序310。存储器306可能包含高速ram存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。
71.程序310具体可以用于使得处理器302执行上述任意方法实施例中的签名文件处理方法。程序310中各步骤的具体实现可以参见上述签名文件处理实施例中的相应步骤和单元中对应的描述，在此不赘述。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的设备和模块的具体工作过程，可以参考前述方法实施例中的对应过程描述，在此不再赘述。
72.在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
73.在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
74.类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在
上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
75.本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
76.此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
77.本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(dsp)来实现根据本发明实施例中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
78.应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。