【问题标题】：Creating A Code Signing Cert for .NET为 .NET 创建代码签名证书
【发布时间】：2013-01-30 06:12:57
【问题描述】：
下面的链接有一个很好的问答：
How do I create a self-signed certificate for code signing on Windows?
我对列出的两个过程（(a) 创建自签名证书颁发机构和 (b) 创建代码签名 (SPC) 证书）有点困惑。我们是先做 a 然后再做 b 还是非此即彼？
创建自签名证书颁发机构 (CA)
makecert -r -pe -n "CN=My CA" -ss CA -sr CurrentUser
-a sha256 -cy authority -sky signature -sv MyCA.pvk MyCA.cer
创建代码签名 (SPC) 证书
makecert -pe -n "CN=My SPC" -a sha256 -cy end
-天空签名
-ic MyCA.cer -iv MyCA.pvk
-sv MySPC.pvk MySPC.cer
【问题讨论】：
标签：
.net
security
certificate
clickonce
【解决方案1】：
重要免责声明：这当然假设这些证书仅供内部使用；如果您想要一个受客户信任的代码签名证书，您将跳过步骤 (a) 并支付一个实际的 CA（其证书已被您的客户信任的 CA）为您签署您的代码签名证书。 em>
您首先创建一个（自签名）CA 证书 (a)，然后使用它来签署您的代码签名证书 (b)。
您可以跳过步骤 (a)，而只需创建一个 自签名 代码签名证书，但创建自己的 CA 证书也有优势：
- 这更接近于您可能在“野外”遇到的设置，其中代码签名证书（或几乎任何其他类型）将由单独的、受信任的颁发证书进行签名。
- 如果您要生成多个证书并使用您的 CA 证书对其进行签名，则只需将一个证书 (CA) 安装为“受信任的根”，并且可以更好地控制对它的访问。这限制了在您的证书必须被吊销的情况下，您需要进行的滥用范围和损害控制。
【解决方案2】：
你为什么不试试呢？或阅读documentation。
第一个命令生成一个证书颁发机构，另一个证书链接到该证书颁发机构。这就是所谓的信任链，因此，如果您信任 CA 证书，那么您就信任由此构建的所有证书。
第二个命令确实会根据 CA 证书生成证书。