什么是属性证书？ | eSign.AI

证明「你能做什么」而不是「你是谁」的证书

公钥证书回答「这个密钥持有人是谁？」——它把身份绑定到加密密钥。属性证书（AC）回答另一个问题：「这个人被允许做什么？」它把属性——角色、权限、部门、职业资格、组成员身份——绑定到身份，自身不携带任何公钥。这个拆分是有意为之：身份很少变化，授权经常变化，解耦两者让管理者可以撤销某人的签署权限，而不必重新签发「他是谁」。在签名工作流里，属性证书就是系统能够证明「签署的人当时有权签」的那套机制。

要点速览

五个事实覆盖大多数属性证书问题。

01

AC 把属性（角色、权限、资格）绑定到身份；PKC 把身份绑定到密钥。它们证明的是不同的主张。

02

AC 由属性机构（AA）签发，AA 可以与签发身份的证书机构（CA）相互独立。

03

短生命周期是常态也是设计意图——授权应当比身份更快过期，让吊销几乎不需要。

04

经典标准是 RFC 5755（PKIX 属性证书规范）；现代实现常用 JSON 格式的 OAuth/OIDC 令牌达到类似目的。

05

在签署工作流里，AC 支撑基于角色的审批路由：签名有效，因为签署人的角色资格可被独立证明。

属性证书与公钥证书

两种不同的主张，两种不同的生命周期。

	属性证书（AC）	公钥证书（PKC）
绑定内容	属性（角色、权限、资格）到身份	身份到一对公私钥
签发者	属性机构（AA）	证书机构（CA）
典型有效期	数小时到数天——设计上就短	数月到数年
是否包含密钥	否	是——这正是它的意义
吊销压力	低——过期速度跑赢绝大多数吊销需求	高——密钥泄露必须立即吊销
在签名流程中的角色	证明签署人被授权（角色、授权范围）	证明文档由该身份的密钥签署

属性证书在实际中出现在哪里

AC 模式安静地承担授权工作的三个场景。

基于角色的签署权限

企业签署网关可以要求每个审批签名都附带证明：签署人在签署当时持有相关角色。AC（或其现代令牌等价物）提供这一证明，向属性机构核验，而不是靠目录查询猜。

带授权证据的合格印章

当机构的电子印章由员工在授权范围内加盖时，一些工作流会附上显示授权范围的属性证据。按 eIDAS 的思路：印章证明机构完整性；授权证据把它连接到人的决策。

现代等价物：OAuth scope 与可验证凭证

业界如今大多把 AC 模式实现为访问令牌中的 OAuth 2.0 scope，或者——越来越多地——承载角色或资格主张的 W3C 可验证凭证，可纳入 eIDAS 2.0 的数字钱包流程。抽象概念存活了下来；编码方式已从 CMS 结构演进。

电子签名买家为什么应该在意

授权是签署治理中被多数平台低估的那一半。

问签署权限如何被证明

当供货协议被执行时，平台能否证明签署人在该日期持有采购权限——来自独立机构，而不是一张目录截图？签署时的角色资格证据，是可辩护与可争辩审批链的区别。

过期对合规是特性

短时效授权意味着昨天的审批人无法在今天就悄悄签字。如果你的工作流使用长期有效的角色授予且没有带时间边界的证据，你就遇到了 AC 设计上要避免的吊销问题。

审计轨迹应同时记录两种主张

完整的证据包记录身份主张（谁签的、如何认证）和授权主张（凭什么资格）。只记录前者的工具，在内部舞弊和「越权签署」争议面前无从回应。

常见问题

不能。AC 不包含签名密钥——它签不了任何东西。它可以与用 PKC 绑定密钥生成的签名一起出示，作为密钥持有人当时被授权的证据。

延伸阅读：CA、TSP 与 QTSP——信任服务生态全景延伸阅读：什么是 PKI，它对数字签名为什么重要延伸阅读：数字签名验证——如何检查文档是否真实

团队正在讨论适合业务的电子签名方案

为你的业务探索合适的电子签名方案

与我们的团队沟通你在目标市场的电子签名要求、合规考量和文档流程。

继续阅读

专业知识库

数字签名验证：如何检查签署文档是否真实

Aug 20, 2026 · 6 分钟阅读

专业知识库

数字签名中的不可抵赖性：它到底给你什么

Aug 20, 2026 · 6 分钟阅读