寻求.NET WinForms应用安装后自动数字签名EXE的实现方法

1. 前置准备 #

• 把signtool.exe（一般在Windows SDK目录，比如C:\Program Files (x86)\Windows Kits\10\bin\10.0.xxxx.x\x64\signtool.exe）打包进安装项目，随应用一起部署到用户系统
• 将你的.pfx密钥文件加入安装项目，设置复制到输出目录为“始终复制”，确保安装时会放到目标EXE的同目录（或你指定的路径）

2. 编写C#自定义操作类 #

新建一个和主应用同.NET Framework版本的类库项目，添加以下代码：

using System;
using System.Diagnostics;
using System.IO;

namespace PostInstallSigning
{
    public class SigningHandler
    {
        // 安装提交阶段执行的静态方法，必须符合自定义操作的参数要求
        public static void SignTargetExe(string[] args)
        {
            try
            {
                // 目标EXE的固定路径
                string targetExe = @"C:\指定路径\YourApp.exe";
                // PFX密钥路径（假设和EXE同目录）
                string pfxFile = Path.Combine(Path.GetDirectoryName(targetExe), "YourKey.pfx");
                // PFX密码（注意：不要硬编码明文，建议加密存储后解密使用）
                string pfxPwd = "YourPFXPassword";
                // 部署后的signtool路径
                string signToolPath = Path.Combine(Path.GetDirectoryName(targetExe), "signtool.exe");

                // 签名命令参数，加入时间戳避免证书过期后签名失效
                string signArgs = $"sign /f \"{pfxFile}\" /p \"{pfxPwd}\" /t http://timestamp.digicert.com \"{targetExe}\"";

                // 配置进程后台执行，不弹出窗口
                ProcessStartInfo startInfo = new ProcessStartInfo
                {
                    FileName = signToolPath,
                    Arguments = signArgs,
                    CreateNoWindow = true,
                    WindowStyle = ProcessWindowStyle.Hidden,
                    UseShellExecute = false,
                    RedirectStandardOutput = true,
                    RedirectStandardError = true
                };

                using (Process signProcess = Process.Start(startInfo))
                {
                    string output = signProcess.StandardOutput.ReadToEnd();
                    string error = signProcess.StandardError.ReadToEnd();
                    signProcess.WaitForExit();

                    // 签名失败时写入日志，便于排查
                    if (signProcess.ExitCode != 0)
                    {
                        File.WriteAllText(Path.Combine(Path.GetDirectoryName(targetExe), "SignFail.log"), $"错误信息：{error}\n输出日志：{output}");
                    }
                }
            }
            catch (Exception ex)
            {
                File.WriteAllText(@"C:\指定路径\SignException.log", $"异常详情：{ex.ToString()}");
            }
        }
    }
}

3. 配置安装项目的自定义操作 #

• 编译类库项目，把生成的DLL添加到安装项目的自定义操作中：
  1. 在安装项目的“自定义操作”节点下，右键点击“提交” -> “添加自定义操作”
  2. 选择刚才编译的DLL，指定调用方法为PostInstallSigning.SigningHandler.SignTargetExe
• 务必将自定义操作的执行阶段设为“提交”（Commit），保证在安装全部完成后执行签名

4. 重要注意事项 #

• 安装程序默认以管理员权限运行，自定义操作会继承该权限，确保目标路径有读写权限
• PFX密码不要硬编码，可将加密后的密码存进配置文件，运行时解密
• 根据用户系统架构选择对应版本的signtool（x86/x64），避免运行报错
• 时间戳服务器可替换为其他可信服务商的地址，比如VeriSign的http://timestamp.verisign.com/scripts/timstamp.dll

内容的提问来源于stack exchange，提问作者Zxcv456 Abc