使用 SignTool 对应用包进行签名

SignTool 是一种命令行工具，用于使用证书对应用包或捆绑包进行数字签名。 证书可由用户创建（用于测试目的），也可以由公司颁发（用于分发）。 对应用包进行签名可让用户验证应用的数据在签名后未进行修改，同时确认对其进行签名的用户或公司的标识。 SignTool 可以对加密或未加密的应用包和捆绑包进行签名。

重要

如果使用 Visual Studio 开发应用，建议使用 Visual Studio 向导来创建应用包并对其进行签名。 有关更多信息，请参阅使用 Visual Studio 打包 UWP 应用和使用 Visual Studio 从源代码打包桌面应用程序。

有关代码签名和证书的更多信息，请参阅代码签名简介。

先决条件

• 打包的应用
  要详细了解手动创建应用包，请参阅使用 MakeAppx.exe 工具创建应用包。

• 有效的签名证书
  有关创建或导入有效签名证书的更多信息，请参阅创建或导入用于包签名的证书。

• SignTool.exe
  根据 SDK 的安装路径，下面是 SignTool 在 Windows 10 电脑上的位置：

  • x86：C:\Program Files (x86)\Windows Kits\10\bin\<sdk 版本>\x86\SignTool.exe
  • x64：C:\Program Files (x86)\Windows Kits\10\bin\<sdk 版本>\x64\SignTool.exe

使用 SignTool

SignTool 可用于对文件进行签名、验证签名或时间戳、移除签名等。 为了对应用包进行签名，我们将重点介绍 sign 命令。 有关 SignTool 的完整信息，请参阅 SignTool 参考页。

确定哈希算法

使用 SignTool 对应用包或捆绑包进行签名时，SignTool 中使用的哈希算法必须与用于打包应用的算法相同。 例如，如果使用 MakeAppx.exe 创建具有默认设置的应用包，则必须在使用 SignTool 时指定 SHA256，因为这是 MakeAppx.exe 使用的默认算法。

要找出打包应用时使用的哈希算法，请提取应用包的内容并查看 AppxBlockMap.xml 文件。 要了解如何解压缩/提取应用包，请参阅从包或捆绑包提取文件。 哈希方法位于 BlockMap 元素中，格式如下：

<BlockMap xmlns="http://schemas.microsoft.com/appx/2010/blockmap"
HashMethod="http://www.w3.org/2001/04/xmlenc#sha256">

下表显示了每个 HashMethod 值及其相应的哈希算法：

HashMethod 值	哈希算法
http://www.w3.org/2001/04/xmlenc#sha256	SHA256
http://www.w3.org/2001/04/xmldsig-more#sha384	SHA384
http://www.w3.org/2001/04/xmlenc#sha512	SHA512

注意

由于 SignTool 的默认算法是 SHA1（在 MakeAppx.exe 中不可用），因此在使用 SignTool 时必须始终指定哈希算法。

对应用包进行签名

满足所有先决条件并确定用于打包应用的哈希算法后，即可对其进行签名。

SignTool 包签名的常规命令行语法为：

SignTool sign [options] <filename(s)>

用于对应用进行签名的证书必须是 .pfx 文件，或者安装在证书存储中。

要使用 .pfx 文件中的证书对应用包进行签名，请使用以下语法：

SignTool sign /fd <Hash Algorithm> /a /f <Path to Certificate>.pfx /p <Your Password> <File path>.appx

SignTool sign /fd <Hash Algorithm> /a /f <Path to Certificate>.pfx /p <Your Password> <File path>.msix

请注意，/a 选项允许 SignTool 自动选择最佳证书。

如果证书并非 .pfx 文件，请使用以下语法：

SignTool sign /fd <Hash Algorithm> /n <Name of Certificate> <File Path>.appx

SignTool sign /fd <Hash Algorithm> /n <Name of Certificate> <File Path>.msix

或者，可以使用以下语法指定所需证书的 SHA1 哈希，而不是<证书的名称>：

SignTool sign /fd <Hash Algorithm> /sha1 <SHA1 hash> <File Path>.appx

SignTool sign /fd <Hash Algorithm> /sha1 <SHA1 hash> <File Path>.msix

有关更多示例，请参阅使用 SignTool 对文件进行签名

请注意，某些证书不使用密码。 如果证书没有密码，请从示例命令中省略“/p <你的密码>”。

使用有效证书对应用包进行签名后，即可将包上传到 Microsoft Store。 有关将应用上传和提交到 Store 的更多指导，请参阅应用提交。