EV证书要求下的Outlook ClickOnce插件签名方案问询

1. 无Visual Studio的加密狗机器上命令行签名整套AddIn文件 #

Outlook AddIn需要签名所有关键文件才能被Outlook正常识别，包括setup.exe、OutlookAddIn.vsto、Application Files文件夹内的.dll、.exe、.manifest、.vsto文件。使用微软官方免费工具signtool即可完成，步骤如下：

• 准备工作：

  • 确保加密狗驱动已安装，证书已加载到系统个人证书存储（可通过certmgr.msc查看「个人」→「证书」下的代码签名证书）。
  • 安装Windows SDK获取signtool（无需安装Visual Studio，仅需下载Windows SDK的「Windows 应用程序认证工具包」组件）。

• 签名命令示例：

  1. 签名setup.exe：

     signtool sign /s MY /n "你的证书主题名称" /tr http://timestamp.digicert.com /td sha256 setup.exe
     

  2. 签名根目录的OutlookAddIn.vsto：

     signtool sign /s MY /n "你的证书主题名称" /tr http://timestamp.digicert.com /td sha256 OutlookAddIn.vsto
     

  3. 批量签名Application Files内的所有目标文件：

     for /r "Application Files" %f in (*.dll *.exe *.manifest *.vsto) do signtool sign /s MY /n "你的证书主题名称" /tr http://timestamp.digicert.com /td sha256 "%f"
     

  说明：/s MY指定从系统个人证书存储读取证书，/n后填写证书的主题名称（可在certmgr.msc中查看证书属性获取），/tr和/td用于添加时间戳，避免证书过期后签名失效。

2. 签名替代方案 #

符合「无需额外购买年费证书、使用微软/可信工具、适配加密狗环境」要求的方案：

• 微软SignTool + 现有加密狗证书：最直接的官方方案，免费且适配所有Windows环境，只要加密狗证书有效即可。
• PowerShell Set-AuthenticodeSignature cmdlet：与signtool功能一致，适合自动化脚本场景，示例命令：

  $cert = Get-ChildItem Cert:\CurrentUser\My -CodeSigningCert | Where-Object {$_.Subject -match "你的证书主题名称"}
  Set-AuthenticodeSignature -FilePath setup.exe -Certificate $cert -TimestampServer http://timestamp.digicert.com
  

• 企业内部CA证书：如果企业有内部PKI系统，可申请内部代码签名证书（无年费），只需将内部CA根证书部署到所有客户端的「受信任根证书颁发机构」存储，即可让客户端信任签名的AddIn。

3. Visual Studio签名的版本要求与操作方式 #

• 支持的Visual Studio版本：Visual Studio 2019及以上版本均可（包括免费的社区版），推荐使用Visual Studio 2022以适配最新的加密狗和签名要求。
• 操作步骤：
  1. 将加密狗连接到安装Visual Studio的机器，确保驱动正常，证书已被系统识别。
  2. 打开Outlook AddIn项目，右键项目 → 属性 → 签名选项卡。
  3. 勾选「为ClickOnce清单签名」，点击「选择证书」→「从存储选择」，找到加密狗中的代码签名证书并确认。
  4. （可选）勾选「为程序集签名」，同样选择该证书，确保程序集文件也被签名。
  5. 构建或发布项目时，Visual Studio会自动签名所有必要的文件（包括setup.exe、.vsto、Application Files内的相关文件）。

内容的提问来源于stack exchange，提问作者Be Kind To New Users