WinUI 3启用SingleFile发布时，如何对包含的DLL进行签名？

WinUI 3 基于 .NET 单文件发布机制，会将所有依赖打包至单个 EXE，但运行时会解压至临时目录。要满足「每个DLL都必须签名」的要求，核心逻辑是先完成所有DLL的签名，再执行单文件打包，避免打包后内部DLL未签名的问题。具体操作如下：

1. 提前签名所有依赖DLL #

• 对项目输出的自定义DLL、第三方未签名DLL执行签名操作，微软官方提供的WinUI 3框架DLL已自带签名，无需重复处理。
• 使用微软官方的signtool工具执行签名，示例命令：

  signtool sign /f "你的代码签名证书.pfx" /p "证书密码" /t http://timestamp.digicert.com "目标DLL的完整路径"
  

  注：/t参数指定时间戳服务器，确保签名在证书过期后仍有效，可替换为公司指定的时间戳服务地址。

2. 调整构建与发布流程，确保打包已签名文件 #

• 方式一：通过项目PostBuild事件自动签名
  在项目的.csproj文件中添加PostBuild任务，编译完成后立即签名输出的DLL，再执行单文件发布：

  <Target Name="SignOutputDLLs" AfterTargets="Build">
    <Exec Command="signtool sign /f &quot;$(SolutionDir)Certificates\YourCert.pfx&quot; /p &quot;$(CertPassword)&quot; /t http://timestamp.digicert.com &quot;$(OutputPath)YourProject.dll&quot;" />
  </Target>
  

  发布时选择SingleFile模式，此时打包的是已签名的DLL文件。

• 方式二：使用MSBuild脚本串联签名与发布
  编写独立的MSBuild脚本，先执行签名任务，再触发Publish操作，确保打包流程依赖签名完成：

  <Project xmlns="http://schemas.microsoft.com/developer/msbuild/2003">
    <Target Name="SignAndPublish">
      <!-- 签名所有需要的DLL -->
      <Exec Command="signtool sign /f &quot;Cert.pfx&quot; /p &quot;Password&quot; /t http://timestamp.digicert.com &quot;bin\Release\net6.0-windows10.0.19041.0\YourProject.dll&quot;" />
      <!-- 执行单文件发布 -->
      <MSBuild Projects="YourProject.csproj" Targets="Publish" Properties="Configuration=Release;PublishSingleFile=true;RuntimeIdentifier=win-x64;SelfContained=true" />
    </Target>
  </Project>
  

3. 验证打包结果 #

发布完成后，需验证单文件EXE内部的DLL是否均已签名：

• 安装.NET工具dotnet-single-file-extract：

  dotnet tool install -g dotnet-single-file-extract
  

• 解压单文件EXE至指定目录：

  dotnet-single-file-extract "YourPublishedApp.exe" "ExtractDir"
  

• 使用signtool验证单个DLL的签名有效性：

  signtool verify /pa "ExtractDir\YourProject.dll"
  

  若返回「签名有效」则符合要求。

4. 注意事项 #

• 避免构建过程中重新生成未签名的DLL覆盖已签名文件，可在发布配置中禁用「增量构建」或调整任务顺序。
• 若采用MSIX/ClickOnce发布，需确保签名步骤在打包成MSIX包之前完成，避免内部DLL未签名。
• 证书需使用公司认可的代码签名证书，不可用测试证书替代。

内容的提问来源于stack exchange，提问作者user27547604