微软代码签名：选对证书，告别“未知发布者”

2025年12月9日

一旦运行软件时弹出“未知发布者”警告，就会让用户对该软件的安全产生疑虑甚至直接取消安装，这也是所有Windows软件开发者最不愿意看到的场景。微软强制要求所有软件和驱动必须经过数字签名，但证书类型繁多，微软代码签名证书究竟该选哪一种呢？

　一、微软代码签名证书二选一

微软代码签名的核心是验证发布者身份和保障代码完整性。市面上主要有两种针对企业的证书，选择的关键在于你的软件类型和安全需求。

1、OV代码签名证书是绝大多数桌面软件和应用程序的标配，证书颁发机构（CA）会验证申请企业的真实合法存在，用它签名后软件安装时会显示可信任的公司名称，从而消除“未知发布者”警告。

2、EV代码签名证书则代表最高级别的验证和安全标准。除了更严格的企业身份审核，它最大的优势是能为软件立即建立微软SmartScreen筛选器的信誉，而OV证书的信誉则需要时间积累。

微软代码签名

1、普通Windows软件与桌面应用

对于发布的.exe、.msi、.dll等常规软件，一款OV证书完全足够，它能满足消除系统警告、建立用户信任的基本需求，是性价比最高的选择。无论是分发独立安装包，还是使用Tauri等框架打包应用，这都是必要步骤。

2、上架微软应用商店

如果计划将软件发布到Microsoft Store，那么代码签名证书是强制通行证，微软明确规定，商店中的所有软件包都必须使用受信任的CA颁发的证书进行签名，OV证书即可满足上架签名的要求。

3、Windows驱动程序开发（必须使用EV证书）

如果你开发的是.sys内核模式驱动程序并希望用户能在现代Windows系统上顺利安装，甚至通过Windows更新推送，那么EV代码签名证书是强制性要求。

WHQL认证的前提：想让驱动程序获得微软官方的Windows硬件质量实验室（WHQL）认证，取得“为Microsoft设计”徽标，必须使用EV证书为驱动文件签名后提交测试。

安全启动的兼容性：对于启用了UEFI安全启动的系统，经过EV证书签名的驱动是确保其能够加载的合规选择。

微软代码签名证书有OV和EV这两种选择，具体选择哪一种需要视情况而定，一定要选择正规服务商申请知名品牌的代码签名证书，如DigiCert、Certum、GlobalSign等，选对证书不仅能扫清用户安装时的信任障碍，更是软件专业度与安全责任的体现。