在签名的MSI内部是否应签署可执行文件和动态库

Question

在签名的MSI（或Inno Setup exe）内是否应签署可执行文件和动态库？

似乎无关紧要，因为Windows并没有抱怨，但我想证实这一点。

Answer 1

这似乎归结为您何时以及为何要签署给定文件的问题。正如您所注意到的那样，对安装文件进行签名是有帮助的，这样UAC提示的预感就会减少。此参数也可以应用于用户可能提升的任何EXE文件。

之后，归结为偏好和权衡。 Windows徽标指南/认证通常要求对所有PE文件进行签名，这是我传统推荐的内容。司机是这方面的一个特例;最新版本的Windows可能需要对它们进行签名，但签名需求与普通PE文件不同。

如果这些都不适用于您（即如果您不关心Logo，也没有司机），您可能还有什么目标？

• 您是否关心用户在查看文件详细信息时看到的内容？
• 您是否关心确保文件完整性？ ¹
• 实施此签名需要多少费用？ （大概只是一点时间和空间，因为听起来你已经拥有证书了。）

^{1 请注意，签署引导程序或.msi不一定要验证exe的内容;只有当他们在驾驶室并且驾驶室本身已签名或包含在签名的.msi中时才会这样做。否则，Windows Installer通常只按位置和文件版本验证EXE文件。}