微软商店上架必看：MSI/EXE安装程序数字签名全攻略

如果你正准备将Win32应用程序（MSI或EXE安装包）提交到微软商店，有一个环节绕不开，也绝不能出错——代码签名。微软官方明确要求：所有提交到商店的MSI/EXE安装程序及其内部所有可执行文件（PE文件），都必须使用受信任的代码签名证书进行数字签名。未签名或签名不合规的应用，将直接无法通过审核。本文将为你拆解上架前的签名要求和选型要点。
一、为什么必须签名？微软的硬性规则
微软官方文档中明确规定了MSI/EXE应用上架的两项核心安全要求：
强制数字签名：.msi或.exe安装程序及其包含的所有可移植可执行（PE）文件，如.dll、.ocx等，必须使用由微软受信任根计划中的CA颁发的代码签名证书进行数字签名。自签名证书或非受信任CA颁发的证书一律不被接受。
为何如此严格？微软通过这一机制确保应用来源可信、代码完整未被篡改，同时为用户提供更安全的安装体验。使用受信任证书签名的应用，在微软商店安装时不会触发SmartScreen警告，用户的信任感和安装转化率也会大幅提升。
二、两个重要区别：MSIX与MSI/EXE，签名方式不同
很多开发者容易混淆，这里先理清一个关键区别：
如果你通过商店发布MSIX包，这也是微软推荐的路径，微软会在认证过程中自动为你的应用重新签名，你无需自行购买或管理证书。大多数新应用都建议走这条路。
如果你通过商店提交Win32 MSI或EXE安装程序，微软不会重新签名你的安装包。你必须在提交前自行完成签名，证书必须来自微软受信任的CA。如果你的应用属于这一类型，下面的选型指南请仔细阅读。
三、代码签名证书选型：标准代码签名和EV代码签名？
CA包括Sectigo、DigiCert、GlobalSign以及数安时代GDCA等。代码签名证书根据验证级别主要分为标准代码签名和EV代码签名两种，两者均满足商店上架对MSI/EXE签名的基本要求，但各有侧重。
标准代码签名是大多数开发者的主流首选。标准代码签名对企业身份进行验证，审核周期通常为1到3个工作日，适用于绝大多数常规桌面应用程序的签名需求。支持对.exe、.msi、.dll、.ocx、.xpi、.cab等文件进行数字签名。如果你的应用是普通的Win32桌面软件，不涉及内核驱动开发，标准代码签名完全满足商店上架要求，性价比更高。
EV代码签名证书适用于驱动开发和高级别安全场景。EV证书提供最高级别的身份验证，审核更为严格，通常需要1到5个工作日。除了覆盖标准代码签名的全部应用场景，EV证书还具备两项关键能力：支持Windows 10/11内核驱动签名，可用于驱动程序WHQL认证中所需的Microsoft Entra ID全局管理员账户注册。如果你的项目涉及内核驱动开发，或希望签名后立即获得SmartScreen信誉信任，EV证书是必选项。
四、给开发者的实操提醒
如果你是通过商店提交MSI/EXE安装包的开发者，在动手签名前，还有几个实操层面的细节值得留意。
第一，确认应用类型再决定证书方案。如果你是提交MSIX包走商店认证，微软自动签名，无需自行购买证书；如果你是提交MSI/EXE安装程序，则需要按本文要求准备代码签名证书。搞错这一步，可能白花冤枉钱。
第二，签名前检查文件完整性。建议在签名前确认安装包内容完整、无冗余PE文件，避免因签名遗漏某个.dll导致审核不通过。
第三，签名后自行验证。签名完成后，可以用signtool verify /pa /v your_installer.exe命令检查签名是否有效，确认证书链完整、时间戳已成功附加。
第四，预算有限的小团队可以考虑OV证书。如果只是普通桌面应用上架，不涉及驱动开发，OV证书是更具性价比的选择，完全满足商店认证要求。
选择正确的代码签名证书并规范操作，是MSI/EXE应用成功上架微软商店的关键一步，也是赢得用户信任的重要保障。