Windows与MacOS平台下Tauri应用代码签名方案咨询

一、核心前提澄清 #

Windows端签名（EV证书适配） #

你已订购的EV代码签名证书完全适用于Windows平台签名，无需额外工具，Tauri可自动完成签名流程，只需正确配置关联Azure Key Vault的证书即可。

Mac端签名的关键事实 #

证书发行方的说法不准确：第三方EV证书无法替代Apple开发者计划证书。Mac的GateKeeper机制强制要求使用Apple官方颁发的开发者ID证书（含应用签名和安装包签名两类），第三方EV证书在Mac系统中不被认可。Tauri官方文档的描述是正确的，你需要注册Apple开发者计划（年费99美元）来获取对应签名证书。

二、本地打包场景下的签名步骤 #

1. Windows端签名配置（Tauri自动签名） #

由于证书存储在Azure Key Vault，需先将证书导出为PFX格式（注意保护私钥密码），再配置以下环境变量：

• TAURI_WINDOWS_CA_BUNDLE: EV证书PFX文件的本地路径
• TAURI_WINDOWS_CA_PASSWORD: PFX文件的私钥密码

执行npm run tauri build时，Tauri会自动调用Windows原生的signtool.exe完成签名，生成的.msi/.exe将不会被系统标记为风险文件。

若不想在本地长期存储PFX文件，可通过Azure CLI写脚本集成到Tauri构建流程：在tauri.conf.json的beforeBuild钩子中临时从Key Vault导出证书，构建完成后立即删除临时文件。

2. Mac端签名配置（依赖Apple开发者证书） #

1. 注册Apple开发者计划，获取开发者ID证书（需同时申请应用签名和安装包签名证书），导出为.p12格式。
2. 配置Tauri环境变量：
   • TAURI_APPLE_CERTIFICATE: .p12证书的本地路径
   • TAURI_APPLE_CERTIFICATE_PASSWORD: .p12文件的密码
3. 为完成Apple公证（Notarization，Mac系统强制要求），额外配置：
   • TAURI_APPLE_ID: Apple开发者账号邮箱
   • TAURI_APPLE_ID_PASSWORD: Apple账号的专用密码（需在Apple ID后台生成，不能用登录密码）
   • TAURI_APPLE_TEAM_ID: 你的开发者团队ID（在Apple开发者后台查看）

执行npm run tauri build时，Tauri会自动调用codesign和productsign完成签名，同时提交公证流程。公证完成后的.dmg才能被Mac系统正常识别，不会触发未知开发者警告。

三、本地打包后上传Azure Blob的最佳实践 #

1. 先签名再上传：必须在本地完成全平台的签名（含Mac公证）后，再将安装包上传至Blob存储，避免用户下载未签名的风险文件。
2. Blob存储配置优化：
   • 容器权限：建议使用SAS令牌或Azure AD身份验证，避免公共读取权限（公开下载场景除外）
   • Content-Type设置：
     • Windows .exe: application/vnd.microsoft.portable-executable
     • Windows .msi: application/x-msi
     • Mac .dmg: application/x-apple-diskimage
3. 版本化管理：按版本号在Blob中创建分层文件夹（如v1.0.0/windows/xxx.msi），方便用户获取对应版本，也便于后续更新迭代。
4. 本地签名验证：上传前务必验证签名有效性：
   • Windows：右键安装包 → 属性 → 数字签名，确认显示你的EV证书信息
   • Mac：终端执行codesign -dv --verbose=4 /path/to/app.app检查签名状态；执行spctl -a -v /path/to/app.app验证是否通过GateKeeper校验

四、常见疑问解答 #

• Q: 为什么证书商会说EV证书可用于Mac？
  A: 部分第三方证书商混淆了跨平台签名的范围，Mac的签名体系是封闭的，仅认可Apple官方颁发的开发者ID证书，第三方EV证书仅适用于Windows平台。
• Q: 本地打包会不会泄露证书？
  A: 避免在本地长期存储PFX/.p12文件，每次构建时临时从Azure Key Vault（Windows）或Apple Keychain（Mac）获取，构建完成后立即清理临时文件；团队开发场景建议后续配置Azure DevOps流水线统一处理签名，避免证书在开发者本地流转。

内容的提问来源于stack exchange，提问作者hagru