Подпись ничего не знает о сертификатах, это просто средство их передачи. Как-то использовать сертификаты может только получающая/проверяющая сторона. Она может вообще не проверять подпись (тогда сертификат не нужен), проверять только подпись (тогда нужен сертификат подписи), строить цепочку (тогда нужна цепочка) или строить и проверять цепочку (тогда нужна цепочка и, возможно, CRL). Что класть в подпись, нужно обговаривать с проверяющей стороной (обычно на это есть документация и образцы). В примере, который вы привели, делается то же самое, что и вы: в certificates помещаются какие-то сертификаты. Проверяющая сторона должна по SID или signingCeritifcate понять, кто подписант, проверить подпись и построить для него (подписанта) цепочку (и, возможно, проверить ее).


В примере массив ключей соответствуют массиву сертификатов, это пары "ключ=сертификат", подписанты. В примере используется 1 ключ и 1 сертификат, т.е. 1 подписант, но можно передать 2 ключа и 2 сертификата, тогда это будут 2 подписанта. В примере для каждого подписанта кладется 1 сертификат, но сертификатов может быть и больше. В подписи раздел "сертификаты" (ceritificates) - это любые сертификаты, которые могут понадобиться для проверки подписи.

Отредактировано пользователем 10 декабря 2019 г. 11:52:46(UTC)  | Причина: Не указана

Высокоуровневое API - это, например, использовать CAdES.jar и его примеры в CAdES-пакете. У него в методе addSigner есть параметр addCertificateChain для включения цепочки сертификатов в подпись. Документация в CAdES-javadoc.jar в папке javadoc дистрибутива. Или вместо addSigner с параметром addCertificateChain использовать setCertificateStore. Отличие его от первого варианта в том, что addCertificateChain добавляет цепочку подписанта, а с помощью setCertificateStore можно добавить любые сертификаты.
В <JRE>/lib/security/cacerts потребуется добавить корневой сертификат цепочки подписанта.

Отредактировано пользователем 10 декабря 2019 г. 14:32:02(UTC)  | Причина: Не указана