什么构成web表单（而非文档）的"合法"数字签名？
选项1：我参与了一个项目，医生会记录患者的健康状况。当提交网络表单时，会生成PDF并使用数字签名。CER证书，PDF将保存到文件系统中。每个医生都有自己的。CER文件和密码是一个需要维护的真正PITA，生成、存储和备份PDF的开销相当高。
还有像CoSign这样的第三方解决方案，允许用户在表单提交时向CoSign进行身份验证，如果身份验证正确，则以某种方式对表单进行数字签名。我相信所有这些解决方案都需要导出到各种类型的文档，然后存储文档，并要求最终签名者在CoSign拥有帐户。这行不通。。。
所有这些签名都要求将数据存储在文档中，这对于许多项目来说并不理想。
选项2：我去了美国购物中心的微软商店，买了一个新的Surface（稍后会退货：/），结账时他们给了我一台平板电脑（讽刺的是，它不是Surface）和一支笔，我记下了我的签名。另一个例子是Square应用程序，它还要求用户在某种触摸屏上记下自己的签名。我认为签名是以图像的形式存储在数据库中的某个位置，但这是否构成"合法"文件？
我曾在一家小型医疗设备公司工作，该公司让他们的医生在网上评估测试，并对他们的评估进行数字"签名"，但所做的只是上传一张保存在数据库中的签名图像。
选项3：我看到的另一种方式是在填写当年的大学学费资助FAFSA时。他们会要求你审查条款，yada yada，然后我必须在底部键入我的全名"如上图所示"，然后提交表格。他们在幕后做什么？？
我正在做的项目是一份为建筑公司签订的一页纸的简单合同，其中解释了要提供的所有服务，并需要签名和日期。该表格的电子版将收集网络表格中所需的所有数据，并将其保存到数据存储中。
我最初的反应是提供<画布>基于HTML5的元素，可以在iPad或其他东西上签名。数据是否需要导出到文档中，然后使用数字签名进行签名，或者数据是否合法并在数据存储中"签名"？
您提出了几个问题，其中只有一个是合法性问题。
提前披露：我为CoSign工作。
第一个问题：
以数字方式签署网络表单与签署文档（PDF等）是的，这是数字签名的常见应用程序。CoSign支持它。通常的技术是首先将web表单表示为XML文件。然后对XML文件进行数字签名。CoSign的SAPI api直接支持根据W3标准对XML文件进行数字签名。从SAPI程序员指南中了解更多信息。可从CoSign Developers网站获得。
验证数字签名的XML文件您需要能够以加密方式验证数字签名XML文件。您可以为此使用CoSign，也可以使用许多其他应用程序来验证XML文件。谷歌搜索"验证xml数字签名"可以看到一个长列表。独立验证数字签名的身份、意图和文件的完整性是使用标准数字签名的主要优势。
第二个问题：
如何解决数字签名数字证书的个人副本的高昂成本正如你所发现的，颁发、跟踪、维护、更换和注销个人数字证书的成本非常高。这是使用颁发给个人签名者（智能卡、usb令牌等）的hw证书进行数字签名的常见（也是很大）缺点。解决这个问题的方法是像CoSign和其他一些人一样集中存储证书。CoSign自动与ActiveDirectory/LDAP等同步，以消除单个hw证书的支持和维护成本。
第三个问题：
外部签名者是否需要在CoSign框中使用自己的帐户？那行不通对于外部签名者（组织之外的人，例如偶尔只签名一次的客户/客户/患者），可以通过编程创建签名帐户，对XML文档进行签名，然后删除该帐户。这种情况并不少见。CoSign SAPI api支持为此目的创建/维护/删除帐户。
第四个问题：
"所有这些签名都要求将数据存储在文档中，这对许多项目来说并不理想吗？"不可以。您可以像我上面解释的那样对XML文档进行数字签名。对从web表单创建的XML文档进行签名也由Microsoft的InfoPath表单系统、IBM表单系统和其他人完成。它是数字签名的常见应用程序。
第五个问题：
Square和其他网络表单签名应用程序在做什么？"
在许多情况下，他们做的是"电子签名"而不是"数字签名"。"
简言之，电子签名是一个人签名的图形表示。这就是文件中的全部内容。因此，该文件本身并不能保证其完整性或不可声誉。也就是说，有人可以更改文件（例如战略性地添加"不是"一词），签名看起来仍然一样。
为了增强固有的薄弱电子签名，各种电子签名服务将把文件存储在其服务器上，从而为其提供对文件完整性等的公司保证。您的选项3可能属于这一类。Square，您的选项2也可能是电子签名。在他们的案例中，Square本身保证在签署后没有任何变化。
电子签名在美国通常是合法的，但您应该咨询律师了解详细信息。还有一种情况是，许多组织由于依赖第三方（供应商）进行验证而不接受电子签名。电子签名文档无法独立验证，您需要依赖供应商。例如，制药公司不能向美国食品药品监督管理局提交带有电子签名的文件，需要数字签名。在美国以外，由于技术的固有弱点，电子签名往往再次不可接受。
数字签名可以对文档、XML文件或任何其他文件进行数字签名。数字签名通过密码学技术保证文件未被更改（完整性）、签名不可信（签名人身份）以及签名人在签名时的意向声明。任何人都可以使用许多地方提供的验证软件或应用程序来验证数字签名文件。数字签名遵守开放标准，而电子签名则不然。
什么是网络表单（而非文档）的"合法"数字签名？
这是现有法律和实践的问题，如果法律是由一个不了解电子签名、数字签名和数字数据性质的人起草的，那么它们应该是什么。
我认为，电子签名（手绘签名的图像）永远不应被视为具有法律约束力，伪造电子签名数据或创建包含签名图像的伪造数据都是微不足道的。它们可以而且经常用于低安全性的情况，但它们对断言数据的真实性或完整性毫无价值。在非常有限的情况下，它们可以在一定程度上是安全的，例如当有一个可信的、防篡改的设备来收集手绘签名时，比如EFTPOS或可信的平板电脑，消费者和（通常）商家的平板电脑不应被视为可信的设备。
另一方面，数字签名使用加密技术嵌入签名，该签名可以自动验证，以断言文档/数据的真实性。只要私钥的安全性是私有的，并且签名算法没有发现任何缺陷，这是一个非常有力的保证。在我看来，这是唯一一种在任何情况下都应被视为具有法律约束力的电子签名形式，前提是各方都理解数字签名。
有可能有一个可信的第三方作为公证人，来断言文件或网络表单提交的真实性。该系统的安全性取决于公证人的声誉，当由可信的公证人使用适当的可信协议进行公证时，该系统具有法律约束力。一些电子公证员采用了某种形式的数字签名，因此他们的主张在仅由数字签名提供的担保之上增加了一层额外的担保。
许多法域允许对某些类型的交易使用较弱形式的电子签名。查看当地法律，如果对使用较弱的签名形式有疑问，请咨询精通电子交易的律师。正确使用数字签名可以消除任何疑虑。
任何有限长度的二进制流都可以签名，而不必在文档中。但是，要使嵌入签名与外部签名不同，所包含的数据必须支持包含签名。