如何高效完成Windows桌面应用批量代码签名（规避Sectigo限流）

现有批处理的不合理之处 #

你的当前实现每个文件单独调用signtool发起签名请求，这会导致：

• 直接触发Sectigo TSA服务器的限流机制：250个文件对应250次独立TSA请求，完全命中限流阈值，是耗时剧增的核心原因。
• 重复消耗资源：EV证书多存储在硬件令牌中，每次单独调用signtool都要重新读取令牌、验证证书链，额外浪费时间。

更优的本地签名方式 #

1. 批量签名减少请求次数 #

signtool支持一次性传入多个文件参数，仅需1次（或少量几次）TSA请求即可完成批量签名，直接将请求次数从250次降到最低。修改批处理脚本如下：

:SIGNLOOP-2
%BASE-PATH%runtime\buildtime\signtool sign /tr http://timestamp.sectigo.com /td sha256 /fd sha256 /a %BASE-PATH%runtime\xfalt\release\*.dll > nul
goto :eof

如果担心单批次文件过多导致出错，可拆分小批量处理（比如每50个文件一批）：

:SIGNLOOP-2
for /f "tokens=1-50*" %%a in ('dir /b %BASE-PATH%runtime\xfalt\release\*.dll') do (
    %BASE-PATH%runtime\buildtime\signtool sign /tr http://timestamp.sectigo.com /td sha256 /fd sha256 /a %%a %%b %%c %%d %%e %%f %%g %%h %%i %%j %%k %%l %%m %%n %%o %%p %%q %%r %%s %%t %%u %%v %%w %%x %%y %%z %%aa %%ab %%ac %%ad %%ae %%af %%ag %%ah %%ai %%aj %%ak %%al %%am %%an %%ao %%ap %%aq %%ar %%as %%at %%au %%av %%aw %%ax %%ay %%az > nul
)
goto :eof

2. 优化signtool参数提升效率 #

• 添加/n参数指定证书主题名称，避免signtool自动搜索证书链，减少证书验证时间：

  signtool sign /n "你的EV证书主题名称" /tr http://timestamp.sectigo.com /td sha256 /fd sha256 %FILES%
  

• 批量签名时signtool会复用硬件令牌的会话，无需每次重新验证令牌，进一步节省时间。

Azure相关在线签名服务方案 #

Azure Key Vault（AKV）支持代码签名功能，可替代本地signtool调用云端签名服务，规避Sectigo的限流问题：

1. 准备工作 #

• 将Sectigo EV证书导入Azure Key Vault：若证书存储在硬件令牌中，需通过Azure Managed HSM导入（普通Key Vault不支持硬件令牌证书导入，Managed HSM提供硬件级安全存储）。
• 配置AKV权限：为操作主体分配Certificate Sign权限。

2. 使用signtool对接AKV批量签名 #

signtool支持直接调用Azure Key Vault，批量处理文件仅需少量TSA请求：

signtool sign /azurekv:你的密钥库名称 /tr http://timestamp.sectigo.com /td sha256 /fd sha256 %BASE-PATH%runtime\xfalt\release\*.dll

AKV会处理证书的安全存储与签名请求，云端处理能力可避免本地限流瓶颈。

3. PowerShell自动化批量签名 #

通过Azure PowerShell脚本实现更灵活的批量处理：

$files = Get-ChildItem -Path "$env:BASE-PATH\runtime\xfalt\release\*.dll"
foreach ($file in $files) {
    az keyvault certificate sign --vault-name 你的密钥库名称 --name 你的证书名称 --algorithm SHA256 --input-file $file.FullName --output-file "signed_$($file.Name)"
}

内容的提问来源于stack exchange，提问作者Thomas Woelfer