如何在Linux环境调用Azure Trusted Signing？Wine运行signtool失败求助

你的报错核心是MFC42.dll找不到，即便通过winetricks安装了该组件，大概率是以下原因导致：

• 位版本不匹配：你使用的signtool.exe是64位版本，但winetricks默认安装的MFC42.dll是32位的，Wine的64位环境无法加载32位DLL。需要确认signtool的位数，对应安装同位数的MFC组件。
• DLL路径未被Wine识别：即使DLL存在，Wine可能未将其所在目录加入系统库搜索路径。可以尝试把MFC42.dll复制到signtool.exe同目录，或者通过wine regedit手动添加DLL路径到注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\SharedDLLs。
• 依赖链不完整：配合Azure Code Signing的特殊版本signtool，除了MFC42还依赖Windows SDK其他组件、VC运行库等，Wine环境下这些组件可能未完全安装，导致加载失败。

不更换服务商的前提下，推荐以下可靠方案替代Wine和不安全的Azure函数：

• 使用Windows容器部署签名环境：在Linux的CI/CD流水线中启动Windows Docker容器（如mcr.microsoft.com/windows/servercore:ltsc2022），容器内预先安装Windows SDK Build Tools、Azure Trusted Signing客户端组件，直接执行官方signtool签名命令，完全兼容官方流程，无需适配Wine。
• 切换到Windows托管CI/CD代理：如果使用GitHub Actions或Azure DevOps，直接选用Windows托管代理（如GitHub的windows-latest、Azure DevOps的windows-2022），这些代理预装了必要的Windows SDK组件，官方文档的流程可直接复用。
• 加固Azure函数签名服务：若必须在Linux环境通过API调用，不要暴露无权限的函数。可添加：
  • Azure AD身份验证，仅允许CI/CD流水线使用的服务主体调用；
  • IP白名单，限制只有CI/CD服务器的IP能访问；
  • 请求校验，比如要求上传文件的哈希值提前备案，或仅允许签名特定类型/目录的文件，避免任意文件签名风险。

内容的提问来源于stack exchange，提问作者Arch