signtool进行签名和认证

https://www.wosign.cn/support/SignTool_guide.htm

 本使用指南演示如何使用 WoSign微软代码签名证书 来给Windows平台代码签名，签名工具为WDK自带的签名工具软件SignTool.exe,此签名工具软件仅支持DOS命令符方式签名。如果您希望使用图形化界面签名您的代码，则建议使用老版本的签名工具SignCode.exe，并请参考 SignCode 签名指南。

1. 导出您的PFX格式微软代码签名证书：

您成功购买 WoSign微软代码签名证书 后，就可以在IE浏览器的“个人证书”中看到您的证书，选择导出证书(包含私钥)，注意不要选中“包括整个证书路径”，并记住私钥密码。

 

2. 将您的PFX格式证书文件导入当前用户个人证书库中：

开始 -〉运行 -〉MMC，启动控制台程序 -> 选择菜单“文件 -〉添加/删除管理单元”-> “添加”->“可用的独立管理单元”列表中选择“证书”-> 选择“我的用户帐户”。在控制台的左侧显示证书树形列表，选择“个人”- “证书”，右键单击，选择“所有任务-〉导入”， 根据“证书导入向导”的提示，将.pfx文件导入当前个人证书目录下。导入成功后，可以看到如下图所示的证书信息：“颁发给”显示您申请的微软代码签名证书的公司名称，而“颁发者”必须是“WoSign Class 3 Code Signing CA”。请注意：请确保您的个人证书目录下只有 WoSign 颁发的 微软代码签名证书，删除其他代码签名证书，否则会导致签名不成功。

 

3. 将WoSign中级根证书导入当前用户的中级根证书颁发机构列表中：

先下载 WoSign代码签名证书的两个中级根证书： WoSign代码签名中级根证书 和 交叉签名根证书， 再选择控制台“中级根证书颁发机构”- “证书”，右键单击，选择“所有任务-〉导入”， 根据“证书导入向导”的提示，分别将两个根证书文件导入当前用户中级根证书目录下。导入成功后，可以看到如下图所示的两个中级根证书信息：“WoSign Class 3 Code Signing CA” 和 “Certification Authority of WoSign”。请注意： 没有正确导入这两个中级根证书也会导致签名不成功。

 

4. 用SignTool签名工具签名：

现在，就可以使用WDK的 SignTool 签名你的文件了。签名命令行为：

signtool sign /v /s my test.cab

其中：

(1) /v： 显示详细的签名结果

(2) /s my： 加载个人证书库中的代码签名证书。请确保只有一个WoSign颁发的微软代码签名证书；

(3) test.cab: 就是您要签名的Windows文件，如：.cab, .dll, .exe 等文件

请注意：签名时，一定要保证能连上互联网，否则由于无法访问时间戳服务器而失败。

 

您还可以使用以下命令验证签名是否完全正确：
signtool verify /v /pa test.cab
如果显示如下图一样的证书签名信息，则说明签名完全没有问题！ 请注意： 必须要有图示正确的4级证书签名路径，第1级为：StartCom Certification Authority ； 第2级为：Certification Authority of WoSign； 第3级为： WoSign Class 3 Code Signing CA； 第4级为WoSign颁发给您的公司的微软代码签名证书， 如果证书公司名称为中文，则在签名工具中显示不出来(为空)，但这并不影响签名效果。

经验证签名成功后可以放到网站上了。请注意：签名后的CAB文件放到网站上需要使用 object 方式。同时,请注意：不能仅签名CAB文件，CAB包中所有DLL文件都要先签名后再打包，再签名CAB文件，否则IE浏览器会显示为“未验证的发行者”而影响正常使用，甚至杀毒软件会认为是毒而被删除！