摘要：代码签名不是上线前几分钟执行的一条命令。组织信息核验、私钥介质准备、签名工具验证、时间戳和发布权限，任何一项未提前安排，都可能让上线周变成排障周。本文提供从发布日倒排的准备路径。
先给答案 代码签名不是最后一道手续
“安装包已经打好，只差签名”是很多发布团队最不愿意遇到的情况。问题表面上是缺少一张证书，实际通常同时涉及签名主体确认、申请资料核验、私钥介质交付、工具兼容性、可信时间戳和发布权限。任何一步临时补齐，都可能压缩测试、灰度和回滚的时间。
代码签名的核心作用是帮助使用者和系统识别软件发布者，并在文件被改动时发现完整性变化。它不是恶意代码检测工具，也不能承诺软件不会出现安全问题。正因为签名承担的是发布身份与文件完整性的责任，申请和使用不宜被当作上线周的临时操作。
为什么上线周才申请 容易把小问题放大
第一类延误来自主体信息。软件由集团、子公司还是独立品牌发布，签名中呈现的组织身份应与实际发布责任相符。第二类延误来自私钥使用方式。团队需要事先确认由谁保管、谁能发起签名、Token 或 HSM 如何接入，以及人员变动时如何交接。第三类延误发生在工具链：本地签名成功，不代表最终安装包、压缩包、驱动或经分发处理后的文件仍能通过验证。
公开信任代码签名的行业基线要求围绕可信签名、准确识别软件发布者以及私钥保护提出要求。对于发布团队而言，最实用的理解是：证书采购、密钥保护和发布流程不是三个独立任务，而是一条需要预演的交付链路。
从首发日期向前倒排 四段准备路径
第一段 发布计划确认后 先确认签名主体
先明确谁是面向用户的软件发布者，并让产品名称、安装包发布页、支持主体和签名主体之间不存在明显冲突。若集团内部由不同公司承担研发、销售和交付责任，应先由法务、产品和发布负责人确认对外身份，再进入申请。
第二段 研发冻结前 完成申请与介质准备
组织信息、联系人和核验事项宜由具备权限的同事提前协调。与此同时，明确密钥使用方式：Token 更适合签名次数有限、责任人清楚的场景；HSM 更适合需要集中控制、多角色协作或与既有受控发布环境衔接的团队。这里的重点不是选一个听起来更高级的方案，而是让权限、保管和交接方式可以执行。
第三段 候选版本阶段 用真实交付物做一次完整演练
不要只对一个原始可执行文件签名后就结束验证。候选版本应尽量贴近实际交付物：安装包、更新包、插件、驱动或压缩包分别测试，并在分发、封装或加壳之后再次验证。这样才能更早发现工具参数、封装顺序、签名算法或目标系统兼容性的问题。
第四段 发布前 保留时间戳与回滚证据
如果软件需要在证书有效期之后继续验证历史签名，可信时间戳应被纳入测试。团队还应保存发布版本号、文件哈希、签名时间、签名操作人和审批记录。出现用户反馈、版本回滚或文件来源争议时，这些记录能让排查从“猜测谁改过文件”变为可核对的事实。
Token 和 HSM 不是单纯的采购选项
私钥不应像普通配置文件一样复制到共享盘、代码仓库或构建镜像。对外发布的软件一旦由泄露的私钥签名，影响的不只是某一次上线，还包括发布主体的可信度。无论使用 Token 还是 HSM，都应拆分证书保管、签名审批和实际操作的权限，并提前设计紧急发布时的授权与留痕。
需要接入现有构建或发布流程的团队，还应确认签名请求由受控步骤触发、可触发签名的账户最小化、每次操作可审计，并在版本号、分支或审批条件不满足时拒绝执行。代码签名能够提供可信签名基础，但流水线的权限与回滚控制仍需由企业自身的工具链共同实现。
上线前一周可直接复用的检查清单
• 签名主体、证书类型与软件实际发布方是否一致；
• Token 或 HSM 的权限、口令、保管责任人及应急联系人是否已确认；
• 正式安装包、更新包、插件或驱动是否均已完成签名与验签测试；
• 可信时间戳是否在候选版本中验证，而不是只在本地工具显示成功；
• 版本号、文件哈希、签名人和审批记录是否已保留，回滚包是否同样可验证。
企业常问
代码签名证书能不能等到发布当天再申请
不建议。具体耗时会受到主体核验、资料准备、密钥介质和团队发布流程的影响。先倒排发布计划并预留测试窗口，比在上线周压缩验证更稳妥。
接入构建流水线 是否等于自动化签名
不等于。流水线可以减少重复操作，但仍要先解决私钥介质、触发权限、审批边界、审计记录和异常回滚。不能因为构建可以自动运行，就把密钥或设备口令直接写进脚本。
关于 GlobalSign
GlobalSign 提供标准代码签名证书和EV代码签名证书，用于帮助软件发布者证明签名主体并保护发布文件的完整性。GlobalSign 中国页面列出 Token 与 HSM 两种实现方式；团队选型时仍应结合发布主体、软件类型、发布频率及现有运维流程确定。
数据来源：GlobalSign 中国代码签名证书；CA Browser Forum Code Signing Baseline Requirements。
