使用signtool验证自签名代码签名证书时，带/pa参数仍提示根证书不被信任的原因排查

咱们先拆解下这个问题的核心：你生成的自签名证书虽然在个人证书存储里，但系统验证证书信任链的时候，找不到被信任的根证书——而你的自签名证书本身就是根证书，只是它没在受信任的根证书颁发机构存储里。

具体原因分析 #

1. 自签名证书的信任链逻辑
   自签名证书没有上级CA颁发，它自己就是整个信任链的根节点。Windows验证签名时，会沿着证书链往上追溯，直到找到一个在「受信任的根证书颁发机构」存储里的根证书——你的证书现在只在cert:\CurrentUser\My（个人存储），不在受信任根存储，所以系统判定这个根证书不被信任，直接终止验证流程。

2. /pa参数的作用误区
   你用的/pa参数是让SignTool使用「代码签名验证策略」（而非默认的驱动程序验证策略），但这个参数只是调整验证的规则集，并没有跳过“根证书必须受信任”这个核心要求，所以解决不了根证书不在信任存储的问题。

解决步骤 #

要让系统信任这个自签名证书，你需要把它导入到受信任的根证书存储里，有两种便捷方式：

方式一：用PowerShell命令导入

运行以下命令（如果要导入到本地机器存储，需要管理员权限）：

# 先定位到目标证书
$cert = Get-ChildItem -Path cert:\CurrentUser\My | Where-Object {$_.DnsNameList -contains "www.mydns.me"}
# 导入到当前用户的受信任根存储（无需管理员）
Import-Certificate -Cert $cert -CertStoreLocation cert:\CurrentUser\Root
# 如果需要让所有用户都信任，导入到本地机器的受信任根存储（需管理员）
# Import-Certificate -Cert $cert -CertStoreLocation cert:\LocalMachine\Root

方式二：手动在证书管理器操作

1. 打开证书管理器（运行certmgr.msc）
2. 在「个人」→「证书」里找到你的www.mydns.me证书
3. 右键点击证书，选择「所有任务」→「导出」，导出为DER编码的X.509(.CER)文件
4. 打开「受信任的根证书颁发机构」→「证书」，右键选择「所有任务」→「导入」，选择刚才导出的CER文件完成导入

完成导入后，再运行signtool verify /pa myfile.exe，就不会再出现“根证书不被信任”的错误了。

内容的提问来源于stack exchange，提问作者Vladimir Yanakiev