PDF签名验证：字节不同不等于伪造

开发者因邮件客户端重新保存附件导致字节变化，而验证器误判为无效，意识到“字节不同”与“伪造”是两回事。其应用Putmysign的验证页面原本只返回布尔值，现改为两项独立检查：一是文件SHA-256是否匹配数据库中的定稿文档；二是文件内是否包含经HMAC签名的证书（存于PDF Keywords元数据），该证书可自证文件由谁签署及原始哈希。这样即使文件被邮件客户端改动或数据库记录被删除，证书仍能证明文件真实性，避免误报。