为EXE添加数字签名可避免Windows SmartScreen拦截、消除“未知发布者”警告并防篡改；需配置signtool环境变量，用PFX证书执行SHA1+SHA256双签名，并通过signtool verify验证。
给打包好的EXE程序添加数字签名，是为了让Windows系统识别发布者身份、避免“未知发布者”警告、防止文件被篡改。没有签名的安装包在Win10/Win11上双击运行时大概率被SmartScreen拦截，用户需手动点“更多信息→仍要运行”，极大影响信任度和安装转化率。
确认并准备SignTool工具
打开命令提示符，输入 signtool 回车。如果提示“不是内部或外部命令”，说明未安装或未配置环境变量。
从Visual Studio Installer中勾选“Windows 10/11 SDK”组件（推荐使用最新版，如10.0.22621.0或更高），安装后默认路径为：C:\Program Files (x86)\Windows Kits\10\bin\<版本号>\x64\signtool.exe。
将该路径添加进系统PATH环境变量——这一步【必须完成】，否则后续所有签名命令都会报错“找不到signtool”。添加后重启命令提示符再验证一次。
获取可用的签名证书
方法一：使用已购买的商业PFX证书（推荐用于正式发布）
直接拿到的.pfx文件包含私钥和证书链，双击可导入到当前用户个人证书存储区，也可直接用于signtool签名。
方法二：自建测试证书（仅限开发/测试环境）
执行以下命令生成自签名证书对：makecert -sv my.pvk -r -n "CN=MyApp Dev" my.cer
再用pvk2pfx -pvk my.pvk -spc my.cer -pfx my.pfx合成PFX文件。注意：此证书在其他电脑上默认不被信任，仅用于本地调试。
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
⚠️ 提醒：不要用过期或无效的PFX文件，signtool会静默失败且不报具体错误，只返回“SignTool Error: An error occurred while attempting to load the signing certificate.”
对EXE文件执行数字签名
第一步：确保目标EXE文件不是只读属性，且未被任何进程占用（包括资源管理器预览窗格）。右键属性→取消勾选“只读”，必要时结束explorer.exe再重启。
第二步：打开管理员权限的命令提示符，进入EXE所在目录。
第三步：执行基础签名命令：signtool sign /f "my.pfx" /p "123456" /t http://timestamp.digicert.com "MyAppSetup.exe"
第四步：追加SHA256签名（必需，Win10 1607+系统强制要求）：signtool sign /f "my.pfx" /p "123456" /fd sha256 /tr http://timestamp.digicert.com /td sha256 /as "MyAppSetup.exe"
其中/as表示“append signature”，即在原有SHA1签名基础上叠加SHA256签名，两者共存才可通过现代Windows验证。
第五步：验证签名是否生效：signtool verify /pa "MyAppSetup.exe"
若输出含“Successfully verified”，说明签名已写入；若提示“No signature found”，请检查PFX密码是否输错、路径是否含中文空格、是否漏掉引号。
