使用DigiCert Authenticode证书签名MSI包时触发内部错误，如何解决？

我来帮你排查这个签名失败的问题，结合你描述的场景——从DigiCert获取证书（浏览器生成私钥）、用Firefox导出P12后签名报错，大概率是导出过程或证书格式的问题，试试下面这些方案：

1. 确认Firefox导出的P12完整性 #

导出P12时很容易漏掉关键选项，你可以检查这两点：

• 导出时必须勾选**「导出私钥」，而且要选择包含整个证书链**（有些版本的Firefox默认只导出用户证书，不包含中间CA证书）
• 用Windows自带的certutil命令验证P12内容，打开命令提示符执行：

  certutil -dump key_and_cert.p12
  

  输出里要确认有「私钥」条目，以及完整的证书链（根CA、中间CA、你的用户证书）

2. 换一种方式导出证书 #

Firefox导出的P12有时候会有兼容性问题，试试这些替代方案：

• 用Chrome导出：如果证书在Chrome中也已安装，导出时选择「PFX格式」，勾选「包括证书路径中的所有证书」和「导出私钥」，设置一个简单的密码（避免特殊字符，防止signtool解析出错）
• 用DigiCert官方工具导出：DigiCert有专门的「Certificate Utility」工具，用它导出的P12会更贴合Authenticode签名的要求，能避免很多格式问题

3. 调整Signtool的参数和版本 #

试试这些参数调整，定位或解决错误：

• 指定密码参数：如果P12设置了密码，必须用/p参数传入，完整命令如下：

  "C:\Program Files (x86)\Windows Kits\10\bin\x86\signtool.exe" sign /v /f key_and_cert.p12 /p your_pfx_password app.msi
  

• 换x64版本的Signtool：有时候x86版本会有兼容性问题，试试路径类似这样的x64版本：

  "C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64\signtool.exe" sign /v /f key_and_cert.p12 app.msi
  

  （注意替换路径里的版本号为你系统对应的Windows Kits版本）
• 开启调试模式看详细错误：加上/debug参数，能获取更具体的内部错误信息，方便定位问题：

  signtool sign /v /f key_and_cert.p12 /debug app.msi
  

4. 通过Windows证书存储签名测试 #

如果上面的方法都不行，可以把P12导入到Windows的「个人证书存储」，然后用证书名称签名试试：

1. 双击P12文件，按照向导导入到「当前用户-个人」存储
2. 打开证书管理器，找到你的证书，复制它的友好名称
3. 执行签名命令：

   signtool sign /v /n "你的证书友好名称" app.msi
   

如果这样能成功，说明问题出在P12导出环节，重新导出一次即可

内容的提问来源于stack exchange，提问作者Pablo Fernandez