使用jpackage生成的exe安装包签名失败问题求助

核心原因分析 #

• EXE格式结构变更：JDK 17及21版本的jpackage工具调整了EXE打包逻辑，生成的PE格式文件采用了更新的头部结构或嵌入了更多元数据，旧版本签名工具（如signtool）无法识别这种新格式。而MSI安装包的结构未受JDK版本变更影响，因此签名不受干扰。
• 签名工具版本不兼容：0x800700c1错误本质是格式不兼容提示，旧版signtool不支持JDK新版本生成的EXE所使用的PE版本。MSI的签名校验逻辑与EXE不同，对工具版本的兼容性要求更低。
• jpackage默认参数变化：JDK 17+默认启用了EXE压缩或加壳优化，压缩后的EXE结构不符合签名工具的预期解析规则，而MSI未启用此类优化，因此可正常签名。
• 签名算法兼容性问题：新JDK生成的EXE可能要求更高版本的签名算法（如SHA-256），若签名工具仍默认使用SHA-1等旧算法，会触发格式不兼容错误，而MSI对签名算法的兼容性更宽松。

可行的解决步骤 #

1. 更新签名工具：安装最新版Windows SDK，使用其中的signtool.exe重新尝试签名，确保工具支持最新PE格式。
2. 关闭EXE压缩：在jpackage命令中添加--win-no-compression参数，生成未压缩的EXE后再进行签名操作。
3. 指定签名算法：调用signtool时添加/fd SHA256参数，强制使用SHA-256算法进行签名。
4. 查阅JDK发行说明：查看JDK 17/21的官方发行文档，确认jpackage模块的EXE生成相关变更，排查是否有已知问题或官方解决方案。

内容的提问来源于stack exchange，提问作者morvael