Phase 5 Iteration 2: chữ ký số PKCS#7/PAdES + redact tỉa ký tự + lưu tối ưu

Engine — chữ ký số (sign.rs MỚI):
- generate_self_signed_id: Digital ID tự ký RSA-2048 + X.509 (rcgen), ghi PEM
- sign_pdf: đúng cơ chế Adobe — lopdf dựng sig dict (/SubFilter
  adbe.pkcs7.detached) + Widget field + AcroForm/SigFlags, ByteRange/Contents
  placeholder; serialize → vá ByteRange theo offset thật → SHA-256 trên 2 đoạn
  → CMS SignedData detached (crate cms, signed attrs messageDigest+contentType,
  RSA-SHA256) nhét DER vào Contents
- verify_signatures: parse ByteRange/Contents, băm lại, kiểm chữ ký RSA trên
  signed attrs + messageDigest khớp + phủ toàn bộ file → phát hiện GIẢ MẠO
- Bài học: cắt DER về đúng độ dài (bỏ padding hex '0'); bỏ qua /Contents của
  trang (tham chiếu), chỉ nhận /Contents <hex> của chữ ký

Engine — redact tỉa theo KÝ TỰ (redact.rs):
- Text chạm một phần: page_char_boxes xác định ký tự trong vùng, GIỮ các đoạn
  ngoài vùng, dựng lại đúng vị trí/baseline/màu (font nhúng gốc → cùng họ →
  mặc định). Guard: text xoay/không đọc được font → xoá nguyên (an toàn)
- qpdf::optimize_save: --object-streams=generate + nén, dọn object rác

Tauri + UI:
- Commands: sig_create_id, sig_sign, sig_verify, security_optimize,
  pick_any_file, pick_save_pem
- Thanh Bảo mật thêm: Tạo Digital ID, Ký số (dialog + tự kiểm tra sau khi ký),
  Kiểm tra chữ ký (modal bảng trạng thái + lý do), Lưu tối ưu

Test (7 mới → 62/62 engine xanh ngoài 2 fixture qpdf Linux):
- sign_then_verify_is_valid; tampering_after_signing_is_detected (phát hiện
  sửa sau khi ký); verify_reports_none_for_unsigned
- redact tỉa ký tự: cụm mật biến mất, phần cùng dòng ngoài vùng vẫn còn
- optimize_save không phình + giữ nội dung

Deps: rsa, sha2, cms, x509-cert, rcgen, pkcs8, der, spki, const-oid.
Docs: 15 mục 6 (iter 2 + giới hạn), 16 (S13–S19), README, roadmap (Phase 5
HOÀN TẤT), 14 (kế tiếp: Phase 6 Form).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HgnbPwSoRGNH7LHsDUmRpk

crates/ff-engine/tests/redact_roundtrip.rs

@@ -67,9 +67,20 @@ fn redact_removes_text_content_for_real() {
     )
     .expect("fixture");
 
-    let mut area = find_text_rect(&pdf, &fx, "TOPSECRET42");
-    // Nới 2pt mỗi phía như người dùng quét chuột.
-    area = Rect { left: area.left - 2.0, bottom: area.bottom - 2.0, right: area.right + 2.0, top: area.top + 2.0 };
+    // Vùng redact = ĐÚNG cụm ký tự "TOPSECRET42" (sub-rect của run, để kiểm tỉa
+    // theo ký tự: phần " tuyệt mật" cùng object phải còn).
+    let boxes = ff_engine::page_char_boxes(&pdf, &fx, 0, None).expect("char boxes");
+    let secret_boxes: Vec<_> = boxes.iter().filter(|b| b.top < 620.0 && b.bottom > 580.0).collect();
+    // Lấy 11 ký tự đầu của dòng (TOPSECRET42) theo thứ tự trái→phải.
+    let mut sorted = secret_boxes.clone();
+    sorted.sort_by(|a, b| a.left.partial_cmp(&b.left).unwrap());
+    let head = &sorted[..sorted.len().min(11)];
+    let area = Rect {
+        left: head.iter().map(|b| b.left).fold(f32::INFINITY, f32::min) - 1.0,
+        right: head.iter().map(|b| b.right).fold(f32::NEG_INFINITY, f32::max) + 1.0,
+        bottom: head.iter().map(|b| b.bottom).fold(f32::INFINITY, f32::min) - 2.0,
+        top: head.iter().map(|b| b.top).fold(f32::NEG_INFINITY, f32::max) + 2.0,
+    };
 
     let touched = redact_areas(&pdf, &fx, 0, &[area], &out, None).expect("redact");
     assert!(touched >= 1, "phải xoá ít nhất 1 object");
@@ -77,6 +88,9 @@ fn redact_removes_text_content_for_real() {
     let text = ff_engine::extract_text(&pdf, &out, 0, None).expect("extract");
     assert!(!text.contains("TOPSECRET42"), "nội dung mật phải BIẾN MẤT: {text:?}");
     assert!(text.contains("PUBLICINFO"), "nội dung ngoài vùng phải còn: {text:?}");
+    // Cùng dòng với chuỗi mật vẫn còn phần "tuyệt mật" (tỉa theo ký tự, không
+    // xoá cả dòng) — chỉ TOPSECRET42 bị chạm.
+    assert!(text.contains("mật"), "phần ngoài vùng của cùng dòng phải giữ: {text:?}");
 
     // Render: tâm vùng redact phải ĐEN.
     let png = tmp("ff_redact_out.png");