.net - 多开发人员环境中 PFX 文件的最佳实践

Question

我花时间整理了诸如 these 之类的问题。

到目前为止没有运气。我的公司有一个我们使用的 VeriSign 的 pfx 文件。我将它添加到我的项目中并在添加时输入密码，然后检查我的解决方案。然后我转到另一台机器，项目编译时出现以下错误:

无法导入 key 文件“xxx.pfx” - 错误“ key 文件可能受密码保护”

有没有办法避免在每个开发环境中输入 PFX 文件的密码？似乎我可以将我的引用指向可能解决此问题的 PFX 文件的服务器位置。但是，当我尝试在记事本中更改我的 .csproj 文件时:

<ManifestKeyFile>xxx.pfx</ManifestKeyFile>
to 
<ManifestKeyFile>\\server\VeriSign\xxx.pfx</ManifestKeyFile>

我收到有关文件名中非法字符的错误消息。

关于如何不必在每个开发环境中输入密码的任何建议？

提前致谢，
詹妮弗

Answer 1

你的方法是，嗯，本质上是不安全的。您应该不是 ，永远不要制作一个代码签名证书，包括其私钥的密码，您团队中的所有开发人员都可以使用该证书。

您应该了解发布软件是具有法律约束力的行为，您的代码签名证书是用来证明该软件的真实性并与最终用户/客户建立信任的。您目前的做法完全破坏了这种信任。当您只允许公司/开发团队中的任何人访问此证书时，就像告诉

“Hey, our managing director is blind, and he will sign any paper without reading it.”

相反，您应该使用由内部 CA 颁发的不 protected 开发证书，或者申请 delay-signing .

生产代码签名证书应该可用 只有在受控、安全、发布的构建环境中。它应该在没有启用私钥导出的情况下导入到证书存储中。只有受信任的人，可能在他们的雇佣契约(Contract)中有足够的法律条款，才能访问此发布构建环境。