.net - 我似乎无法理解这个 .NET 程序集签名的事情

Question

好吧，我一定很蠢，因为我已经读过这个了: http://www.csharp411.com/net-assembly-faq-part-3-strong-names-and-signing/

我还是没明白...

假设我打开项目的属性并转到“签名”选项卡，然后选中“对程序集进行签名”并生成带有密码的新程序集。创建了一个扩展名为 .pfx 的强名称 key 文件，其中包含公钥和私钥，VS 将在编译时对我的程序集进行数字签名，对吗？

私钥呢？难道不应该是私有(private)的，而我，开发商，是唯一拥有它的人吗？程序集不应该只用公钥签名吗？

谁能给我解释一下吗？基本上，我想签署我的项目的程序集，并允许用户检查该程序集是否真的由我开发，而我是唯一保留私钥的人(我认为我应该这样做)。

Answer 1

你基本上是对的。

您创建一个 key 对并使用它进行签名。但不要发送 pfx(或 snk)文件，它包含公钥和私钥，应妥善保管。

作为签名过程的一部分，公钥将添加到程序集中。

当程序集加载到应用程序中时，将检查此签名。最终用户还可以检查 GAC 中的公钥 token ，但这并不是一个真正方便的过程。并且您必须以某种方式告诉他们您的公钥 token 。

整个事情的可靠性取决于您将 key 文件保密的能力。

另请注意，理想情况下每个公司只应拥有 1 个 key 。如果您担心与(许多)同事共享它，请研究延迟签名。