c# - 开源库是否应该进行数字签名

Question

始终对可执行文件(exe、dll、ocx 等)进行签名是一种很好的做法。另一方面，对于开源项目，它可能会考虑忽略所有其他开发人员对该项目的贡献。

这对我来说是一个相当道德的困境，我想听听处于类似情况的人或为开源项目做出贡献的人对此的更多意见。

我想指出这个问题是针对一个使用 .NET 4 用 C# 编写的开源项目的，因此当用户单击可执行文件时，他或她将收到一条警告，指出该文件来自不受信任的出版商，如果它没有数字签名。

顺便说一句，程序集都已经有了强命名(签名)，但它们还没有数字签名(即使用 Verisign 代码签名证书)。

Answer 1

.Net 是一个不同的野兽，因为许多功能要求(尤其是库)要求使用强名称 key 对文件进行签名，但这些可以自签名而不会受到最终产品的投诉(它使用程序证书而不是库弹出您在原始问题中提到的那个消息框。

但是在一般情况下，我认为使用私钥签署官方发行版的团队没有任何问题。如果您对源代码进行某些操作并在技术上重新编译“该文件是 来自不受信任的发布者”，因为我可能信任 Canonical，但我不信任您。只要可执行文件不是由特定发布者签署的，就不会阻止它以预期的方式使用(GPL 中的 tivoization 条款)，我认为没有理由不签署您的可执行文件。