使用VSTS和GitHub源代码签名

Question

和其他人一样，我将GitHub用于我的开源项目。现在我想使用VSTS作为构建和发布服务而不是AppVeyor。

将来我想签署我的所有NuGet包。

但是：我应该在哪里存储我的证书文件（pfx）？

• VSTS没有keyvault
• 我不想将我的pfx文件存储在GitHub或任何其他公共场所

我的想法

• 我可以将pem（base64）存储到build var中，并在构建证书期间使用openssl创建（pfx）
• 我可以将pfx文件存储在私有且安全的blob存储上，并在构建期间下载pfx

这里的最佳做法是什么？

Answer 1

你的两个想法对我来说都很好。由于您使用的VSTS仅支持私有存储库，因此您还可以在VSTS帐户中创建一个私有存储库来存储pfx文件，然后在构建/发布定义中添加一个任务，以便在构建/发布期间获取该文件。 / p>