如何为面向外部用户的Exe文件进行数字签名认证？

一、准备正确的证书 #

• 必须获取OV（组织验证）或EV（扩展验证）级别的代码签名证书，DV（域名验证）证书仅适合内部测试，外部用户仍可能看到警告
• 证书格式优先选PKCS#12（.pfx/.p12），需包含私钥和完整证书链，方便后续签名操作

二、选择签名工具 #

Windows系统自带两种实用工具：

1. signtool.exe（推荐） #

• 属于Windows SDK组件，可通过安装Visual Studio或单独安装Windows SDK获取
• 基础签名命令：

  signtool sign /f "你的证书路径.pfx" /p "证书密码" /t "http://timestamp.digicert.com" "目标EXE路径.exe"
  

  • /f：指定证书文件路径
  • /p：证书保护密码（若设置）
  • /t：指定时间戳服务器，必须添加，否则证书过期后签名会失效
  • 可选参数：/d添加应用描述，/du添加应用官网链接，提升可信度

2. PowerShell命令 #

• 适合自动化批量签名场景，使用Set-AuthenticodeSignature：

  $cert = Get-PfxCertificate -FilePath "你的证书路径.pfx" -Password (ConvertTo-SecureString "证书密码" -AsPlainText -Force)
  Set-AuthenticodeSignature -FilePath "目标EXE路径.exe" -Certificate $cert -TimestampServer "http://timestamp.digicert.com"
  

三、验证签名有效性 #

• 右键EXE文件 → 属性 → 数字签名选项卡，查看签名状态及发布者信息是否正确
• 用signtool命令验证：

  signtool verify /pa "目标EXE路径.exe"
  

  /pa参数表示按照Windows系统代码签名策略验证

四、分发前的关键注意事项 #

• 确保证书链完整：若证书由中间机构颁发，签名时需包含完整证书链，避免部分用户系统无法验证
• EV证书优势：EV证书签名的应用会直接显示发布者名称，且能绕过Windows SmartScreen初始拦截，更适合大规模外部分发
• 签名后禁止修改EXE：任何修改（压缩、加壳、代码调整）都会导致签名失效，需完成所有编译、打包操作后再签名

内容的提问来源于stack exchange，提问作者Ivesy