Electron打包后应用签名认证失败怎么办？

这个问题我遇到过，主要是证书链不完整导致的。你现在的配置只指定了p12证书，但没有包含中间证书。

先去你的证书提供商那里下载对应的中间证书文件，然后用openssl把它们合并成一个完整的证书链。具体命令是：

openssl pkcs12 -export -out complete-cert.p12 -inkey your-private.key -in your-cert.crt -certfile intermediate-cert.crt

改完记得更新你的打包配置，把certificateFile指向这个新的complete-cert.p12文件。还有个坑要注意，密码最好别用纯数字，改成字母数字组合试试。

另外建议你在环境变量里加个CSC_LINK指向证书路径，密码也用CSC_KEY_PASSWORD存，这样比写死在配置里安全些。如果还是不行，可以装个signtool手动测试签名，排查到底是证书问题还是打包工具的问题。

最后提醒下，确保你用的是最新版electron-builder，老版本确实有些签名相关的bug。

这个问题很典型，我之前也踩过类似的坑。你遇到的 CERTIFICATE_VERIFY_FAILED 错误，表面上看是签名失败，但其实不一定是配置写错了，而是整个签名链路中某个环节断了。我们一步步来排查和修复。

首先明确一点：electron-builder 打包时的代码签名，并不是简单把证书贴上去就行，它需要完成一个完整的 PKI（公钥基础设施）验证流程。也就是说，系统不仅要验证你的私钥能匹配证书，还要确认这个证书是由可信 CA 颁发的，并且没有被吊销。任何一个环节出问题都会导致“未通过签名认证”。

第一步：检查证书格式和导入方式

你说用了微软认证的代码签名证书，那应该是 .pfx 或 .p12 格式。但这里有个细节很多人忽略 —— .p12 文件必须包含完整的证书链（包括中间CA），否则 Windows 验证时找不到上级签发机构，就会报 CERTIFICATE_VERIFY_FAILED。

你可以用以下命令检查你的证书是否带完整链：

openssl pkcs12 -info -in cert.p12 -nodes -password pass:123456

执行后你会看到一堆输出，重点找有没有类似 X509 Certificate 出现多次。如果只看到一个（就是你自己的那个），说明缺少中间CA证书，这就是问题所在。

解决方案：联系你的证书提供商（比如 DigiCert、Sectigo），让他们提供完整的 .p7b 或 .crt 链文件，然后重新打包成带链的 p12：

openssl pkcs12 -export 

  -in your_domain.crt 

  -inkey your_private.key 

  -name "My Code Signing Cert" 

  -certfile DigiCertCA.crt           # 中间CA

  -certfile TrustedRoot.crt         # 根CA（通常可省略）

  -out cert-with-chain.p12 

  -password pass:123456

然后更新配置指向这个新文件。

第二步：electron-builder 的配置要正确使用 WinCodeSign

很多人不知道的是，electron-builder 在 Windows 上实际是调用 win-code-sign 这个底层库来做签名的。而它的默认行为并不会自动处理证书链缺失的问题。

所以你的配置得改一下，显式控制签名过程：

module.exports = {

  build: {

    win: {

      // 关键：不要只靠 certificateFile 和 password

      // 改用 signWithParams 让你完全掌控 signtool 参数

      certificateFile: './cert-with-chain.p12',

      certificatePassword: '123456',

      

      // 强制使用具体 signtool 路径，避免环境混乱

      win32metadata: {

        // 可选：设置一些基本属性防止警告

        CompanyName: 'YourCompany Inc.'

      },



      // 最重要的一环：启用详细日志

      verbose: true

    },



    // 全局配置建议加上

    afterSign: './scripts/notarize.js', // 后续可用于上传时间戳

    publish: null // 先关掉发布功能，专注本地打包

  }

}

然后运行打包命令时加个 DEBUG 环境变量：

DEBUG=electron-builder,win-code-sign electron-builder --windows

这样你会看到完整的签名命令，通常是这样的形式：

"C:Program Files (x86)Windows Kits10bin10.0.22621.0x64signtool.exe" sign /t http://timestamp.digicert.com /f "cert-with-chain.p12" /p "123456" /debug your-app.exe

注意里面的 /t 参数，这是添加 RFC3161 时间戳，非常重要。没有时间戳的话，证书过期后签名就无效了。

第三步：手动测试 signtool 行为

别依赖 electron-builder 黑盒操作，直接拿 signtool 自己试一遍：

# 先生成一个测试 exe（比如空的 node script）

echo console.log(1) > test.js

pkg test.js --targets node16-win-x64 -o test.exe



# 然后手动签名

"C:Program Files (x86)Windows Kits10bin10.0.22621.0x64signtool.exe" sign 

  /f cert-with-chain.p12 

  /p 123456 

  /t http://timestamp.digicert.com 

  /v 

  test.exe

如果这步失败，错误信息会比 electron-builder 更清晰。常见失败原因包括：

- signtool 找不到（路径不对）
- 证书密码包含特殊字符没转义
- 当前用户权限无法访问证书存储区
- 杀毒软件拦截签名操作（尤其是 McAfee）

成功后可以用以下命令查看签名状态：

signtool verify /pa test.exe

应该返回 "Signed by: XXX" 和 "Successfully verified"

第四步：确保时间戳服务可用

很多开发者忽略了时间戳的重要性。即使你现在签名成功了，未来证书到期后，安装程序依然会被标记为“不受信任”。因此必须加时间戳。

推荐使用 DigiCert 的免费时间戳服务：

- http://timestamp.digicert.com （HTTP）
- http://timestamp.comodoca.com/rfc3161

如果你的企业网络限制 outbound HTTPS，可能连不上这些地址。可以先 ping 测试：

curl -v http://timestamp.digicert.com

或者换用支持代理的方式，在 corporate network 下经常要用内部时间戳服务器。

第五步：最终建议的配置方案

综合以上，你应该改成这样：

module.exports = {

  build: {

    win: {

      target: 'nsis', // 推荐使用 NSIS，对签名更友好

      certificateFile: './certs/cert-with-chain.p12',

      certificatePassword: process.env.CERT_PASS || '123456',



      // 显式指定时间戳服务器

      timeStampServer: 'http://timestamp.digicert.com',



      // 防止某些情况下自动检测失败

      rpcHost: 'localhost',



      // 开启调试日志

      verbose: true

    },

    nsis: {

      differentialPackage: false,

      oneClick: false

    }

  }

}

并且在 CI/CD 或本地打包脚本中统一设置环境变量：

export CERT_PASS="your-real-password"

DEBUG=electron-builder,win-code-sign npx electron-builder --win --x64

总结关键点

具体来说，你原来的配置错不在语法，而在于忽略了三个核心事实：

1. p12 必须包含完整的证书链，否则验证无法回溯到可信根
2. 没有时间戳的签名只是“临时有效”，一旦证书过期立即失效
3. electron-builder 是封装层，底层还是依赖 signtool 和系统证书库

最后提醒一句：每次换证书都要重新测试整条链，哪怕是同一个颁发商。有时候他们升级中间CA会导致旧链断裂。我也被这个坑过好几次，现在都养成习惯每次打包前先手动跑一遍 signtool 验证流程。

照上面步骤走一遍，99% 的 CERTIFICATE_VERIFY_FAILED 都能解决。要是还不行，就把 DEBUG 日志贴出来再分析。