代码签名应该放在构建/发布过程中的什么位置？

Question

我最近才开始享受能够签署可执行文件的乐趣。现在我正在尝试在我们的构建/发布过程中建立一个应该签署程序集的适当位置。

我的第一直觉是尽可能早地签署（在构建后的活动中），以确保所签署的内容是构建者想要的。

但这（在我们的例子中）要求每个开发人员都拥有对私钥的完全访问权限，这可能是不可取的。

另一种想法是仅在我们发布时签名，这样签名很少且由少数人执行。但这太晚了吗？

是否存在最佳实践？

Answer 1

Delay Signing an Assembly:

一个组织可以拥有一个严密保护的密钥对，开发人员可以这样做 每天都无法访问。公钥通常是 可用，但对私钥的访问仅限于少数人 个人。在开发具有强名称的程序集时，每个 引用强名称目标程序集的程序集包含 用于为目标程序集提供强大的公钥的令牌 姓名。这要求公钥在 发展过程。

您可以在构建时使用延迟或部分签名来预留空间 在强名称签名的可移植可执行 (PE) 文件中， 但将实际签署推迟到稍后阶段（通常只是 在装运组件之前）。