如何签名自行编译的Qt DLL？签名分发合法性疑问

一、为自行编译的Qt DLL签名的步骤 #

• 准备代码签名证书：要么从靠谱的CA机构购买正规证书（公开发布推荐用这个，用户机器不会弹出安全警告），要么生成自签名证书（仅适合内部测试场景，用户端会提示“未知发布者”）
• 使用Windows标准签名工具操作：Windows SDK自带的signtool.exe是常用工具，命令示例如下：

  signtool sign /f 你的证书文件.pfx /p 证书密码 /t 时间戳服务器地址 目标DLL文件路径
  

  注意必须添加时间戳，否则证书过期后已签名的文件会失去验证效力
• 批量签名提高效率：如果有大量DLL需要处理，可以写批处理脚本循环执行，示例代码：

  @echo off
  set CERT_FILE=your_cert.pfx
  set CERT_PWD=your_cert_password
  set TIMESTAMP_URL=http://timestamp.digicert.com
  for %%f in (*.dll) do (
      signtool sign /f %CERT_FILE% /p %CERT_PWD% /t %TIMESTAMP_URL% "%%f"
  )
  

二、自有证书签名分发的合法性 #

• 遵守Qt开源协议即可：Qt开源版本（LGPL/GPL）允许用户修改、编译并分发，只要严格遵守对应协议规则——比如LGPL协议下动态链接Qt时，需提供让用户替换Qt库的途径；GPL协议下则要求你的软件也开源。签名行为本身不违反Qt开源协议
• 证书类型不影响合法性但影响体验：使用CA颁发的正规证书签名后分发完全合法；自签名证书在法律层面无问题，但用户运行时系统会弹出“未知发布者”的警告，部分严格的系统或软件可能直接阻止运行，不适合公开发布
• 额外提醒：分发时最好明确告知用户这是自行编译的Qt库，避免与官方预构建版本混淆

内容的提问来源于stack exchange，提问作者楚狂人