寻求可提供公钥与私钥的OV代码签名证书，用于手动签名Windows C#应用

需求梳理 #

• 已购入SSL.com的OV代码签名证书，但配套的eSigner按月订阅模式不符合使用需求，不愿为签名服务持续支付月费
• 发现SSL.com该类证书仅提供公钥，签名所需私钥由eSigner生成的CSR管控，无法脱离订阅服务手动完成应用签名
• 核心诉求：寻找支持同时提供公钥和可本地存储私钥的OV代码签名证书，用于Windows平台C#应用的手动签名操作

证书选型建议 #

• 优先锁定提供「私钥本地存储」方案的OV代码签名证书，这类产品通常会将私钥生成在本地加密容器（如Windows证书存储、PKCS#12/PFX格式文件）中，完全无需依赖第三方订阅服务
• 选购时避开依赖云托管私钥的产品（如SSL.com eSigner这类），重点查看提供商的产品说明，确认是否明确标注「私钥本地可控」「无需持续订阅签名服务」

Windows C#应用手动签名操作指引 #

若获取到符合要求的证书（带PFX格式公私钥文件），可通过以下两种常用方式完成签名：

• Visual Studio 图形化操作：在项目属性的「签名」选项卡中导入PFX证书文件，按需勾选「为ClickOnce清单签名」或「为程序集签名」即可
• 命令行工具签名：使用Windows SDK自带的signtool.exe，示例命令如下：

  signtool sign /f "your-cert-file.pfx" /p "cert-password" /t "http://timestamp.digicert.com" "YourCSharpApp.exe"
  

  注：时间戳服务器可根据证书颁发机构的推荐选择，添加时间戳能保证签名在证书过期后依然有效

选购注意事项 #

• 确认证书颁发机构（CA）属于微软信任的根CA列表，避免签名后的C#应用在Windows系统中出现「未知发布者」的安全提示
• 购买前务必向客服确认：私钥是否支持导出为本地文件（如PFX），且无需绑定后续的订阅服务
• 部分CA会提供硬件加密狗（HSM）存储私钥的方案，这类也符合本地可控需求，但需要额外购置硬件，可根据自身场景选择

内容的提问来源于stack exchange，提问作者Joel Barrantes