使用Windows SDK的SignTool签署Excel加载项遇问题求助

我来帮你拆解这三个签名问题的根源和解决办法，都是我处理Office加载项签名时踩过的坑：

• 先检查DLL是否已有旧签名：如果之前做过延迟签名或者测试签名，旧签名会覆盖新的。先执行signtool remove /s <你的DLL路径>清除旧签名，再重新签名。
• 匹配SignTool和DLL的架构：你用的是x86版本的SignTool，如果你的DLL是x64架构，换成C:\Program Files (x86)\Windows Kits\10\bin\x64\signtool.exe试试——架构不匹配会导致签名成功但系统识别不到。
• 验证签名是否真的成功：别光看命令行输出，执行signtool verify /pa /v <你的DLL路径>查看详细验证结果。如果显示签名有效，那可能是系统缓存问题，执行certutil -urlcache * delete清除证书缓存，或者重启电脑再检查。
• 明确指定加密狗的CSP：USB加密狗需要指定对应的加密服务提供程序（CSP），不然SignTool可能读不到证书。右键加密狗里的证书→所有任务→高级操作→查看证书属性→详细信息→找到「加密服务提供程序」，然后在签名命令里加/csp "<CSP名称>"，比如常见的/csp "eToken Base Cryptographic Provider"。

"This file format cannot be signed because it is not recognized"

• VSTO本质是个XML配置文件，SignTool根本不支持直接签它！正确的姿势是：
  1. 先签名你的Office加载项核心DLL（就是你写的插件代码编译出来的那个DLL）
  2. 用.NET Framework SDK里的mage.exe来签名应用程序清单和部署清单（.vsto文件其实是指向部署清单的快捷方式）
• 给你一套手动签名的命令示例：
  1. 签名DLL：

     signtool sign /pa /tr http://timestamp.digicert.com /td sha256 /fd sha256 /csp "<你的CSP名称>" /n "<证书主题名>" YourAddIn.dll
     

  2. 签名应用程序清单（一般是YourAddIn.dll.manifest）：

     mage -sign YourAddIn.dll.manifest -CertHash <证书SHA1指纹（去掉空格）> -TimeStampUri http://timestamp.digicert.com
     

  3. 更新并签名部署清单（对应你的.vsto文件）：

     mage -update YourAddIn.vsto -AppManifest YourAddIn.dll.manifest -CertHash <证书SHA1指纹> -TimeStampUri http://timestamp.digicert.com
     

• 证书SHA1指纹可以通过certutil -store My命令查看，找到你的证书对应的哈希值，把中间的空格删掉就行。

• 因为你的证书在USB加密狗，别用/a让SignTool自动选证书，容易选到错误的证书。建议用/n "<证书主题名称>"或者/sha1 <证书SHA1指纹>明确指定要使用的证书。
• 加上/pa参数，让签名符合Windows的系统组件签名策略，兼容性更好，比如你的exe签名命令可以改成：

  "C:\Program Files (x86)\Windows Kits\10\bin\x86\signtool.exe" sign /pa /debug /tr http://timestamp.digicert.com /td sha256 /fd sha256 /n "<你的证书主题名>" myInstaller.exe
  

内容的提问来源于stack exchange，提问作者afghg