Godaddy代码签名证书：SPC转PFX及代码签名操作求助

首先得明确核心问题：你导入MMC的PKCS7（.spc）文件不包含你的私钥——这就是导出选项灰色的根本原因。私钥是你在Linux生成CSR时保存在本地的.key文件，必须把它和GoDaddy的证书链结合才能生成带私钥的PFX文件。

下面分两种场景给出完整步骤：

一、直接在Linux环境生成PFX（推荐，因为私钥原本就在这里） #

假设你手头有：

• 生成CSR时保留的私钥文件（比如my-private.key）
• GoDaddy提供的SPC文件（比如godaddy-code-sign.spc）

1. 将PKCS7格式的SPC转换为PEM格式的证书链
   执行OpenSSL命令提取证书链：

   openssl pkcs7 -in godaddy-code-sign.spc -print_certs -out cert-chain.pem
   

   这个命令会把SPC里的所有证书（包括根证书、中间证书、你的代码签名证书）导出为PEM格式的文本文件。

2. 生成PKCS12（PFX）文件
   用私钥和证书链生成带密码保护的PFX：

   openssl pkcs12 -export -out my-code-sign.pfx -inkey my-private.key -in cert-chain.pem
   

   执行后会提示你设置PFX的加密密码，一定要记住这个密码——后续签名或导入证书时都需要用到。

二、在Windows环境完成签名（使用生成好的PFX） #

把Linux上生成的my-code-sign.pfx复制到Windows机器后，有两种方式签名：

方式1：使用signtool命令行（高效） #

假设你已经安装了Windows SDK（包含signtool），执行以下命令：

signtool sign /f my-code-sign.pfx /p "你的PFX密码" /t http://timestamp.digicert.com your-app.exe

• /t 参数指定时间戳服务器，必须添加——这样即使证书过期，已签名的文件依然有效。
• 如果你需要对MSI或其他格式文件签名，只需要替换your-app.exe为对应文件路径即可。

方式2：导入PFX到MMC后使用图形界面签名 #

1. 打开MMC，添加「证书」管理单元，选择「我的用户账户」或「本地计算机」（根据需求）。
2. 右键「个人」→「所有任务」→「导入」，选择你的PFX文件，输入设置的密码，勾选「标记此密钥为可导出」（后续如果需要备份可以导出）。
3. 导入完成后，右键要签名的文件→「属性」→「数字签名」→「添加」，选择导入的代码签名证书即可完成签名（记得勾选时间戳选项）。

关键注意事项 #

• 私钥安全：你的my-private.key是代码签名的核心，一定要妥善保管，绝对不能泄露给第三方。
• 私钥加密：如果你的私钥生成时设置了密码，在执行OpenSSL命令时会提示你输入私钥密码，输入正确才能继续。
• 时间戳必加：没有时间戳的签名会在证书过期后失效，一定要添加合法的时间戳服务器。

内容的提问来源于stack exchange，提问作者Naveen Thomas