如何从Windows导出证书链以解决Install4j+YubiKey签名证书链无效问题

一、Windows端导出完整证书链 #

YubiKey私钥无法导出，需导出包含中间、根证书的完整公钥链：

• 打开certmgr.msc，在「个人」-「证书」下找到YubiKey中的代码签名证书
• 右键证书 → 「所有任务」→ 「导出」，选择「否，不导出私钥」
• 导出格式选「DER编码的二进制X.509(.CER)」，勾选「包括所有证书路径中的证书」，完成导出
• 若导出的文件仍缺失证书，可从SSL.com官方渠道下载对应EV代码签名的中间证书和根证书，补充到指定文件夹中

二、Install4j证书链配置方案 #

方案1：使用外部证书目录 #

• 创建本地文件夹，将导出的证书链文件（及补充的根/中间证书）放入其中
• 打开Install4j「编译器」→「VM参数」，添加：-Dsys.ext.certDir=/绝对路径/到证书文件夹（Mac系统需填写全路径，比如/Users/xxx/cert-store）
• 注意：确保所有证书文件密钥长度≥2048位（SSL.com的EV证书默认符合要求，若提示1024位错误，检查是否误放了旧的短密钥证书）

方案2：正确导入证书到YubiKey #

之前导入位置错误，需导入到CA存储区：

• 打开Windows端YubiKey Manager，切换到「证书」标签
• 点击「导入」，选择SSL.com的中间证书和根证书，导入到「CA证书」存储区（而非签名证书区）
• 插拔YubiKey后，在Mac端Install4j中选择YubiKey作为签名令牌，重新尝试签名

三、Install4j签名设置检查 #

• 在「代码签名」设置中，选择「使用硬件令牌（YubiKey）」，确认选中的是目标代码签名证书
• 勾选「验证证书链」选项，让Install4j自动校验链完整性
• 若仍报错，通过「帮助」→「显示日志文件」查看具体错误，定位缺失的证书环节

内容的提问来源于stack exchange，提问作者Shenom Allred