.NET 6单文件.exe提取的DLL无签名问题排查求助

你的签名时机选错了。GetCopyToOutputDirectoryItems是在文件复制到项目输出目录时触发，但single-file发布时，.NET会先把所有依赖文件收集到发布中间目录，再打包成单文件EXE。你现在签的是输出目录里的DLL，这些文件根本没被打包进最终的单文件，所以提取出来的自然没有签名。

1. 修正签名触发时机 #

修改.csproj里的SignIntermediates目标，把触发时机改成BeforeTargets="GenerateBundle"——这是.NET打包单文件的核心步骤，确保签名在文件被打包前完成：

<Target Name="SignIntermediates" BeforeTargets="GenerateBundle" Condition="$(ConfigurationName) == Release">
  <Exec Command="Powershell.exe -ExecutionPolicy Unrestricted -Scope Process -file &quot;path\to\my\signFiles.ps1&quot; &quot;$(PublishDir)runtimes\win-x86\native\&quot; &quot;$(PublishDir)&quot;" />
</Target>

2. 让签名脚本处理正确的文件 #

更新你的signFiles.ps1，接收两个目录参数（对应托管依赖和原生运行时DLL的目录），批量签名所有要打包的文件：

param(
  [string]$NativeDllDir,
  [string]$ManagedFileDir
)

# 签名原生运行时DLL
Get-ChildItem -Path $NativeDllDir -Filter *.dll | ForEach-Object {
    # 替换成你的实际签名命令（比如用signtool）
    signtool sign /f "C:\path\to\your\cert.pfx" /p "your-cert-password" $_.FullName
}

# 签名托管DLL和主EXE（打包前的文件）
Get-ChildItem -Path $ManagedFileDir -Include *.dll,*.exe | ForEach-Object {
    signtool sign /f "C:\path\to\your\cert.pfx" /p "your-cert-password" $_.FullName
}

3. 验证效果 #

执行dotnet publish -c Release后，先检查PublishDir目录下的所有DLL/EXE是否已签名，再运行生成的单文件EXE，查看%temp%中提取的文件，签名应该已经生效。

• 确保signtool在系统PATH里，或者在脚本里用绝对路径调用
• .NET 6和8的单文件打包目标逻辑一致，上述配置通用
• 签名后不要修改任何文件，否则签名会直接失效

内容的提问来源于stack exchange，提问作者tomwaitforitmy