标签: code-signing

成功公证了我的 osx 电子应用程序，但现在的问题是 Apple ID 和应用程序特定密码位于 package.json 中。我当然不想在那里对它们进行硬编码以进行分发，但是我可以使用 .env 文件中的环境变量来替换它们，或者如何在 package.json 文件中将它们保密？

I looked into dotenv and cross-env but I didn't see how the env variables could be used in a package.json file.

App was built using electron forge.

Structure (taken from the electron-forge docs) that I use:

{
  "name": "my-app",
  "version": "0.0.1",
  "config": {
    "forge": {
      "packagerConfig": {
        "osxSign": {
          "identity": "Developer ID Application: Felix Rieseberg (LT94ZKYDCJ)",
          "hardened-runtime": true,
          "entitlements": "entitlements.plist",
          "entitlements-inherit": "entitlements.plist",
          "signature-flags": "library"
        },
        "osxNotarize": {
          "appleId": …

我的BlackBerry代码签名已开始失败,并显示"从代理连接到Web签名者时出错". 搜索网络似乎表明这是BlackBerry代码签名服务的问题.此刻还有其他人在打这个吗？

Wireshark表示我收到了来自www.rim.net的回复,其中包含错误消息.

请求:

POST/Websigner/servlet/Runtime
HTTP/1.1 Cache-Control:no-cache
Pragma:no-cache用户代理:
Java/1.6.0_21主持人:www.rim.net
接受:text/html,image/gif,
image/jpeg,*; q = .2,/ ; q = .2
连接:keep-alive内容类型:
application/x-www-form-urlencoded
内容长度:268
CSC文件根据签名工具的规范.
Mon Nov 08 19:42:17 EST 2010 Command =签名请求

响应:

HTTP/1.1 200 OK日期:2010年11月9日星期二
00:39:22 GMT服务器:Apache-Coyote/1.1
Keep-Alive:timeout = 15,max = 100
连接:Keep-Alive
Transfer-Encoding:chunked
Content-Type: text/plain
'#CSC文件根据签名工具的规范.
'#Mon Nov 08 19:39:22 EST 2010 Version = 0 Error =
从代理连接到Web签名者时 出错

到目前为止,我们的项目和所有相关的豆荚都是客观的.我们想使用最新版本的PromiseKit,所以添加了use_frameworks!到我们的podfile.在将PromiseKit添加到PodFile之前,我确认该项目正在运行.将PromiseKit添加到podfile后,我得到一个'Command/bin/sh失败,退出代码为-1',说'PromiseKit.framework:捆绑包格式无法识别,无效或不合适.'

sent 2733061 bytes  received 98 bytes  5466318.00 bytes/sec
total size is 2732456  speedup is 1.00
Code Signing /Users/bryanboyko/XCode/HereOne-iOS/HereOne/Build/Products/Debug-iphoneos/HereOne.app/Frameworks/Parse.framework with Identity iPhone Developer: Bryan Boyko (2J2F768B2X)
/usr/bin/codesign --force --sign 453628556ADD8E5593F102CEF9634DB02042AA98  --preserve-metadata=identifier,entitlements "/Users/bryanboyko/XCode/HereOne-iOS/HereOne/Build/Products/Debug-iphoneos/HereOne.app/Frameworks/Parse.framework"
/Users/bryanboyko/XCode/HereOne-iOS/HereOne/Build/Products/Debug-iphoneos/HereOne.app/Frameworks/Parse.framework: replacing existing signature
rsync -av --filter "- CVS/" --filter "- .svn/" --filter "- .git/" --filter "- .hg/" --filter "- Headers" --filter "- PrivateHeaders" --filter "- Modules" "/Users/bryanboyko/XCode/HereOne-iOS/HereOne/Build/Products/Debug-iphoneos/PromiseKit.framework" "/Users/bryanboyko/XCode/HereOne-iOS/HereOne/Build/Products/Debug-iphoneos/HereOne.app/Frameworks"
building file list ... done
PromiseKit.framework/

sent 102 bytes  received 26 bytes  256.00 bytes/sec
total size is 0  speedup …

我已经对NWjs Windows应用程序（Chromium应用程序）进行了编码，并使用Inno Setup，并使用自签名证书对其进行了签名。但是，尝试从Web上安装它时，出现“ Windows保护您的PC”消息。我现在想知道使用此自签名证书对应用程序进行签名是否没有用，因为当我不对应用程序进行签名并按原样打包时，会得到相同的结果。

当我单击“更多信息”时，当我使用自签名证书和不使用自签名证书对应用程序进行签名时，都表示发布者是未知的。

我想知道，有时在应用程序分发到Internet上之后，证书的数据（例如主题的CN）是否有助于获得一定的声誉。我想知道自签名证书是否有时会有助于摆脱“ Windows保护您的PC”消息。

好的,我已经阅读了关于这个问题的每个主题,我仍然没有解决方案.我们的应用程序已签署分发,并在"等待审核"的itunesconnect中,但我们发现了一些错误并拒绝了它.几天后,我们准备重新提交应用程序和"应用程序失败的代码签名验证.签名无效,或者没有签名......"发生了.

我们完成了下一步:

1. 创建新的配置文件
2. 清理项目和Build文件夹(很多次!)
3. 尝试另一台Mac使用此方法检查应用程序,但未发现任何问题
4. 检查权利和图标文件检查应用程序版本和体系结构以及分发配置文件和project.pbxproj文件.

什么错过了？

添加:

命令行输入

codesign --verify -vvvv -R ='anchor apple generic和certificate 1 [field.1.2.840.113635.100.6.2.1]存在且(证书leaf [field.1.2.840.113635.100.6.1.2]存在或证书leaf [字段. 1.2.840.113635.100.6.1.4]存在)'path_i_get_after_drag_and_drop_my_app_to_console

协同检查结果:

myapp.app:在磁盘上有效

myapp.app:满足其指定要求

myapp.app:满足明确要求

问题

虽然我在Windows可执行文件上的详细SignTool（手动）命令上没有出现任何错误，但时间戳被覆盖了，我希望有多个时间戳，这可能吗？

• 如果有可能，那怎么办？
• 如果没有可能，我只使用1个单时间戳，那么你会从长远来看，推荐哪个服务器？（DigiCert现在浮现在我的脑海。）

这是我尝试过的

PowerShell功能

function sign32exe([string]$arg)
{
    & 'C:\Program Files (x86)\Windows Kits\10\bin\x86\signtool.exe' sign /fd sha256 /a $arg
    Start-Sleep -Seconds 5
    & 'C:\Program Files (x86)\Windows Kits\10\bin\x86\signtool.exe' timestamp /tr http://timestamp.globalsign.com/?signature=sha2 /td sha256 /v $arg
    Start-Sleep -Seconds 5
    & 'C:\Program Files (x86)\Windows Kits\10\bin\x86\signtool.exe' timestamp /tr http://sha256timestamp.ws.symantec.com/sha256/timestamp /td sha256 /v $arg
    Start-Sleep -Seconds 5
    & 'C:\Program Files (x86)\Windows Kits\10\bin\x86\signtool.exe' timestamp /tr http://time.certum.pl /td sha256 /v $arg
}

PowerShell输出

我从SignTool得到了肯定的输出，但是每次调用都会覆盖时间戳（为了更好的可读性而对其进行了重组）：

签名过程进行顺利：

Done Adding …