使用jlink/jpackage生成的MSI签名后，安装文件丢失签名如何解决？

问题根源 #

jpackage生成MSI的逻辑是：先构建包含未签名启动器、运行时文件的安装包内容，再打包成MSI文件。单独对最终MSI签名，仅会给安装包本身添加签名，不会处理内部的二进制文件，因此安装后提取出的exe、dll等文件无签名。

可行解决方法 #

1. 提前签名核心文件，再用jpackage打包并签名 #

这是最直接的官方方案，利用jpackage自带的签名参数，确保打包过程中对内部文件和MSI都完成签名：

• 先用jlink生成独立的运行时镜像：

  jlink --module-path "你的模块路径;javafx-jmods路径" --add-modules 你的主模块名 --output runtime
  

• 手动签名runtime目录下的所有二进制文件（如java.exe、javaw.exe），以及后续jpackage生成的启动器exe
• 执行jpackage时，指定已签名的运行时镜像，并开启内置签名参数：

  jpackage --type msi \
    --module 你的主模块名/你的主类全路径 \
    --runtime-image runtime \
    --win-sign \
    --signing-keyfile 你的pfx证书路径 \
    --signing-keystore-password 证书库密码 \
    --signing-key-password 证书密钥密码
  

  这里的--win-sign会让jpackage在打包过程中，先对内部所有需要签名的文件处理，再对最终生成的MSI签名，确保安装后文件带有效签名。

2. 自定义打包流程，插入预签名步骤 #

如果默认参数不满足需求，可以固定jpackage的临时工作目录，在打包前完成文件签名：

• 指定jpackage的临时目录（避免每次自动生成临时文件夹）：

  jpackage --temp ./jpackage-temp ... 其他参数
  

• 在执行jpackage打包MSI前，遍历jpackage-temp目录下的所有exe、dll等二进制文件，用signtool逐个签名：

  signtool sign /f your-cert.pfx /p your-pass /t http://timestamp.digicert.com "jpackage-temp\**\*.exe"
  

• 再执行完整的jpackage命令生成并签名MSI

3. 用Gradle插件整合签名与打包流程 #

借助Gradle的JavaFX插件或第三方插件，可以把签名步骤嵌入构建流程，自动化完成：

• 引入org.openjfx.javafxplugin插件，配置jlink任务生成运行时镜像
• 添加自定义Gradle任务，对运行时镜像和启动器文件执行签名
• 配置jpackage任务，依赖上述签名任务，使用已签名的文件生成MSI并完成最终签名

是否需要换回旧的Ant/Gradle流程？ #

不需要。jlink/jpackage是官方针对模块化Java应用推出的标准打包方案，相比旧流程能更高效地处理JavaFX的模块化依赖，生成的安装包体积更小、运行更独立。只要调整签名时机，把签名步骤提前到MSI打包之前，就能解决签名丢失的问题，完全可以继续使用这套方案。

内容的提问来源于stack exchange，提问作者karlp