如何在Visual Studio中为.NET项目的EXE文件进行代码签名

已在Visual Studio 2022中通过Post-build事件调用SignTool.exe为.NET项目的DLL文件完成代码签名，Post-build事件脚本如下：

if $(ConfigurationName) == Release call "$(ProjectDir)\..\MYBATCHSCRIPT.BAT" $(TargetPath)

批处理文件MYBATCHSCRIPT.BAT内容：

@echo off
signtool.exe sign /f "c:\certpath\cert.pfx" /tr http://timestamp.digicert.com /p PASSWORD "%1"
echo Completed code signature for %1

当前仅DLL文件被签名，但项目输出类型已设置为EXE（项目文件中<OutputType>Exe</OutputType>），EXE文件未被签名，尝试关闭ProduceReferenceAssembly选项后问题仍存在。

咨询问题 #

1. 如何为EXE文件进行签名？
2. 是否SignTool.exe和Visual Studio仅需签名DLL而非EXE？
3. 是否需要改用更复杂的脚本签名所有DLL和EXE？

1. 如何为EXE文件进行签名？ #

先排查核心问题并修复：

• 修复CMD条件判断语法：原Post-build事件的if $(ConfigurationName) == Release存在CMD语法错误，字符串比较需用引号包裹变量和值，否则配置名称含空格（如Release x64）时会判断失败，导致脚本未执行。修改为：

  if "$(ConfigurationName)" == "Release" call "$(ProjectDir)\..\MYBATCHSCRIPT.BAT" $(TargetPath)
  

• 验证$(TargetPath)路径：在Post-build事件中添加调试输出，确认路径指向正确的EXE：

  echo TargetPath: $(TargetPath)
  

  编译Release配置后查看输出窗口，确认路径为项目生成的EXE文件。
• 排查签名执行错误：暂时移除批处理中的@echo off，编译后查看输出窗口的SignTool执行日志，检查是否存在证书路径错误、密码不正确或权限不足等问题。

2. 是否SignTool.exe和Visual Studio仅需签名DLL而非EXE？ #

不是。SignTool.exe支持对所有PE格式文件签名（包括EXE、DLL、OCX等），签名需求完全取决于分发场景：

• 若EXE是交付给用户的最终可执行程序，必须签名才能避免用户运行时触发系统安全警告；
• Visual Studio没有强制要求仅签名DLL，签名范围完全由Post-build事件的配置决定。

3. 是否需要改用更复杂的脚本签名所有DLL和EXE？ #

如果项目输出目录下存在多个需要签名的PE文件（如多个DLL+EXE），建议修改脚本遍历所有目标文件：

• 修改MYBATCHSCRIPT.BAT为：

  @echo off
  set "TARGET_DIR=%~dp1"
  :: 签名所有EXE文件
  signtool.exe sign /f "c:\certpath\cert.pfx" /tr http://timestamp.digicert.com /p PASSWORD "%TARGET_DIR%*.exe"
  :: 签名所有DLL文件
  signtool.exe sign /f "c:\certpath\cert.pfx" /tr http://timestamp.digicert.com /p PASSWORD "%TARGET_DIR%*.dll"
  echo Completed code signature for all files in %TARGET_DIR%
  

• Post-build事件保持修改后的条件判断即可，脚本会自动处理$(TargetPath)所在目录下的所有EXE和DLL。

如果仅需签名单个EXE文件，只需修复原脚本的条件判断和路径验证，无需复杂脚本。

内容的提问来源于stack exchange，提问作者ShieldOfSalvation