VS2022开发UWP应用：MSIX包签名及AppxSignature.p7x获取问题

1. 是否应该使用signtool进行签名？ #

是的，signtool是Windows官方推荐的MSIX（含UWP）应用包签名工具，属于Windows SDK 10的核心组件，完全符合MSIX包的签名规范，是官方认可的标准签名方式。

2. 如何获取AppxSignature.p7x文件？ #

AppxSignature.p7x并非需要预先获取的独立文件，它是在MSIX包签名成功后，自动生成并嵌入到包内的签名凭证文件。以下是完整的签名流程及该文件的生成逻辑：

前提准备 #

你需要拥有有效的代码签名证书：

• 用于公开发布的应用：从受信任的CA机构购买具备代码签名权限的证书（需包含1.3.6.1.5.5.7.3.3扩展密钥用法）。
• 用于测试/内部分发的应用：使用Windows SDK工具生成测试证书（仅在信任该证书的设备上有效）。

测试证书生成与签名步骤 #

1. 打开VS2022开发者命令提示符（确保环境变量已包含Windows SDK路径，signtool通常位于C:\Program Files (x86)\Windows Kits\10\bin\<SDK版本>\x64目录）。
2. 生成测试证书及私钥：

   MakeCert -r -pe -n "CN=你的测试证书名称" -ss My -sr LocalMachine -eku 1.3.6.1.5.5.7.3.3 -len 2048 -sv TestKey.pvk TestCert.cer
   

3. 将证书与私钥合并为PFX格式（便于signtool调用）：

   pvk2pfx -pvk TestKey.pvk -spc TestCert.cer -pfx TestCert.pfx -po 你的证书密码
   

4. 执行签名命令：

   signtool sign /fd SHA256 /a /f TestCert.pfx /p 你的证书密码 "你的应用包路径.msix"
   

   签名成功后，AppxSignature.p7x会自动嵌入到MSIX包的签名目录中（无需手动提取，签名后的包已包含该文件）。

正式证书签名命令 #

若使用CA颁发的正式证书，命令格式类似：

signtool sign /fd SHA256 /a /f 正式证书路径.pfx /p 证书密码 "你的应用包路径.msix"

常见签名失败原因排查 #

• 证书权限不符：检查证书的扩展密钥用法是否包含「代码签名」（OID:1.3.6.1.5.5.7.3.3）。
• 哈希算法错误：MSIX强制要求使用SHA256，命令中必须添加/fd SHA256参数。
• 权限不足：需以管理员身份运行命令提示符。
• 工具版本不匹配：使用对应Windows 10 SDK的最新版signtool。

内容的提问来源于stack exchange，提问作者Jeff325