使用SafeNet Thales令牌EV代码签名证书时避免重复密码提示

问题描述 #

我持有一枚带有EV代码签名证书的Thales SafeNet令牌，当前使用signtool命令行对可执行文件签名，命令如下：

signtool sign /tr "http://timestamp.digicert.com" /td sha256 /fd sha256 /as /n "CERTIFICATE NAME ON TOKEN" /v "D:\path\to\file.exe"

签名流程正常，但在批处理循环中签名每个文件时，SafeNet Authentication Client都会弹出密码提示。想询问：能否在一次会话中仅要求输入一次密码，或是通过批处理SET变量将密码作为signtool的命令行参数传入？

注意：/p（密码）参数仅适用于从.PFX文件（搭配/f参数）签名，无法用于令牌。

可行解决方案 #

方案1：启用SafeNet客户端的会话密码缓存 #

• 打开SafeNet Authentication Client管理控制台
• 在令牌的设置选项中，找到会话密码缓存（部分版本名为“Persistent Login”或“Session Retention”），启用该功能并设置足够覆盖批处理运行时长的缓存有效期
• 第一次签名时输入密码后，后续所有签名操作会自动复用缓存的会话，不再弹出密码提示

方案2：用SafeNet命令行工具预建立令牌会话 #

Thales配套的命令行工具（如acertcmd.exe或pkcs11-tool.exe，需匹配你的令牌型号和客户端版本）可以提前完成令牌登录，缓存会话：

1. 在批处理开头添加令牌登录命令，支持通过SET变量让用户输入一次密码：

@echo off
SET /P TOKEN_PWD=请输入令牌密码：
rem 以下命令需根据实际工具调整，示例为acertcmd的登录命令
acertcmd.exe -l -p "%TOKEN_PWD%"

2. 执行完登录命令后，再运行循环签名的signtool命令，此时会话已缓存，不会重复触发密码弹窗
3. 批处理结束后建议清除密码变量，避免泄露：

SET TOKEN_PWD=

注意事项 #

• 部分旧版SafeNet Authentication Client可能不支持会话缓存或命令行登录，需确保客户端版本符合要求
• 命令行工具的具体参数需参考本地安装的客户端文档调整

内容的提问来源于stack exchange，提问作者Coder12345