.net - 不签署 .NET 程序集有什么问题吗？

Question

我的一位同事非常热衷于签署程序集。他确实试图签署任何东西。即使当我们使用来自 Microsoft 的未签名程序集时，他也会获取源代码，对其进行签名，然后要求其他开发人员使用他的副本。

我可以理解签署程序集背后的基本思想:确保特定程序集不会被某些狡猾的黑客破坏。因此，如果我们是一家软件开发公司，我们应该在向客户发布一些 .NET 库之前签署我们的程序集。

但是，我们主要开发供自己使用的 Web 应用程序，我看不出对我们使用的每个程序集进行签名的意义。

我在这里遗漏了什么吗？

Answer 1

我已经利用非签名程序集来解决问题，并在学术环境中向人们展示了它的重要性。我用我用相同名称、相同签名制作的一个 DLL 文件替换了一个未签名的 DLL 文件(同样是在学术环境中)，并使用了 .NET Reflector复制并粘贴原始代码，但在我的代码中，我通过电子邮件发送了在调用“真实”代码之前传入的用户名和密码。

如果签名，您可以进行签名匹配，但不能替换。与 Zippy 所说的相反，将会出现运行时编译错误。

对程序集进行签名永远不会矫枉过正。需要 30 秒。这就像说如果你住在乡下锁上门就太过分了。如果您想用您的财物进行赌博，请继续，将其打开。只需要一次安全漏洞就会被解雇。签署程序集仅需 30 秒，而且没有任何商业理由不这样做。性能影响可以忽略不计。