从杀毒软件视角：仅签名可执行文件还是所有程序集？

作为常年跟高延迟应用和杀毒软件排查打交道的开发者，我可以很明确地说：必须给所有程序集签名，这直接关系到你的应用能不能稳定跑在低延迟状态下。

背后的逻辑其实和杀毒软件的扫描机制强相关：

• 杀毒软件对未签名的二进制文件（包括.dll、.NET程序集这类依赖文件）会执行更严苛的检查流程：实时哈希比对、沙箱临时运行、甚至调用云端引擎校验——这些操作每一步都会占用CPU和IO资源，完全是高延迟应用的“性能杀手”。
• 你已经签了主exe和安装包，但如果依赖的子程序集没签名，麻烦依然存在：主exe启动后加载这些依赖的瞬间，杀毒软件会立刻触发扫描，这种“半路杀出”的延迟会直接打断应用的实时运行流程，导致卡顿。
• 全签名能建立完整的信任链：当杀毒软件看到整个应用套件里的所有文件都由同一个可信CA签名时，会把它们标记为“低风险可信组”，跳过大部分重复扫描步骤，甚至会缓存可信文件的哈希值，后续加载直接放行，这对延迟控制至关重要。

当然，全签名会增加一点打包环节的工作量，但对比高延迟应用可能出现的性能波动，这个成本完全值得。另外要注意：一定要用主流杀毒厂商认可的正规CA证书，自签名证书基本起不到减少扫描的作用。

内容的提问来源于stack exchange，提问作者John T