使用Electron打包得到的Windows .appx文件签名流程及证书选择咨询

• 普通代码签名证书：成本较低，适用于个人开发者、小团队测试或内部分发场景。首次安装时系统会弹出未知发布者风险提示，需要用户手动信任，满足微软应用商店提交的基础审核要求。
• EV代码签名证书：成本更高，适用于正式公开发布的场景。签名后的应用会直接被Windows SmartScreen信任，不会弹出未知发布者警告，微软应用商店审核通过率更高，适合面向大众用户分发的正式版本。

你可以根据自己的情况选择打包时自动签名，或者对已生成的.appx文件手动签名：

方式1：electron-windows-store 打包阶段自动签名（推荐） #

在打包配置中直接传入证书参数，打包完成后自动生成已签名的.appx文件，无需后续额外操作：

• 提前将申请到的代码签名证书导出为PFX格式，记录好导出时设置的密码
• 修改你的electron-windows-store打包配置，新增证书相关参数：

const windowsStore = require('electron-windows-store')

windowsStore({
  // 你原有配置保持不变
  publisher: 'CN=你的证书发布者名称', // 必须和证书上的主体信息完全一致
  certificateFile: './xxx.pfx', // 替换为你的PFX证书文件实际路径
  certificatePassword: '你的证书密码'
})

重新执行打包命令后，输出的.appx文件就已经完成签名。

方式2：对已生成的.appx手动签名 #

如果已经完成打包生成了.appx文件，可以使用Windows SDK自带的SignTool工具完成签名：

• 先安装对应版本的Windows SDK，SignTool默认路径为C:\Program Files (x86)\Windows Kits\10\bin\<SDK版本号>\x64\signtool.exe，也可以直接将该路径加入系统环境变量方便调用
• 打开终端执行签名命令：

signtool sign /f 你的PFX证书路径 /p 你的证书密码 /fd SHA256 /t http://timestamp.digicert.com 你的.appx文件路径

• 签名完成后执行以下命令验证签名有效性：

signtool verify /pa 你的.appx文件路径

注意：如果你的安装包需要提交到微软应用商店分发，自行签名后还需要提交到微软应用商店后台完成审核，微软会对包做二次官方签名。如果仅做本地或者企业内部分发，自行完成签名后就可以正常安装使用。

内容的提问来源于stack exchange，提问作者InferDark392