1. 程式人生 > >公司只提供簽名服務,不提供證書檔案,如何打包Electron應用

公司只提供簽名服務,不提供證書檔案,如何打包Electron應用

需求

稍微正規點的公司,都要為自己開發的軟體做程式碼簽名,如下圖所示

程式碼簽名的主要目的是為了確保軟體的來源(這個軟體是由誰生產的)和軟體的內容不被篡改

一個軟體公司可能有很多團隊,很多開發者,開發不同的軟體,但用於簽名的證書就那麼一套

由於擔心開發者用這個證書去簽名惡意的軟體,損壞公司的聲譽,

所以這套證書一般不會直接給開發者使用的

那麼怎麼辦呢?

公司往往會開發一個服務,

軟體開發好後,開發者把軟體上傳到這個服務上,由這個服務給軟體簽名,簽完名後,開發者再下載簽名後的檔案,再分發給使用者

難點

如果公司提供的簽名服務是標準的CI簽名服務,那麼開發者只要為electron-builder設定CSC_LINK和CSC_KEY_PASSWORD環境變數即可

但往往公司提供的就是一個簡單的http上傳下載服務,

這就需要通過自定義electron-builder的簽名回撥來完成相應的工作了

下面是這個配置項在整個electron-builder配置項中的位置(此文簽名只與windows環境有關):

let options = {
      config: {
        win: {
          sign: async (config) => {
            
          }
        },
      },
}
builder.build(options);

在electron-builder為應用打包時,

至少會產出4個可執行檔案(windows平臺下為exe檔案)

  • 你的應用程式.exe
  • 你的應用程式的安裝檔案.exe
  • 你的應用程式的解除安裝檔案.exe
  • elevate.exe(這個檔案用於以管理員的身份啟動程式)

上面提到的sign函式會相應的執行8次(每個exe檔案產生時,會執行兩次sign函式)

如果你有其他的可執行程式要打包到你的應用中,

相應的sign函式也會被呼叫(同樣也是每個exe檔案,會執行兩次sign函式)

sign函式被呼叫時,electron-builder會為其輸入一個config引數

這個引數的值如下(兩個物件分別對應兩次呼叫):

{
  path: 'D:\\project\\***\\*** 1.3.0.exe',
  name: 'HikLink',
  site: null,
  options: {
    icon: '../resource/unrelease/icon.ico',
    target: [ [Object] ],
    sign: [AsyncFunction: sign]
  },
  hash: 'sha1',
  isNest: false,
  computeSignToolArgs: [Function: computeSignToolArgs]
}
{
  path: 'D:\\project\\***\\*** 1.3.0.exe',
  name: 'HikLink',
  site: null,
  options: {
    icon: '../resource/unrelease/icon.ico',
    target: [ [Object] ],
    sign: [AsyncFunction: sign]
  },
  hash: 'sha256',
  isNest: true,
  computeSignToolArgs: [Function: computeSignToolArgs]
}

不同點是:hash和isNest兩個屬性

(有兩種簽名型別,一種是sha1,一種是sha256,sha1由於不安全,基本已經廢棄了,所以我們選擇sha256)

最終的sign函式的邏輯為:

child_process.spawnSync("curl.exe", [
              "-F",
              "auth_id=******",
              "-F",
              "username=******",
              "-F",
              "fd=sha256",
              "-F",
              "file=@" + config.path,  //生成的exe檔案的絕對路徑
              "-F",
              "cert_type=SHA256",
              "http://******/sign.php", //簽名服務
              "-k",
              "-f",
              "-o",
              config.path   //簽名完之後就下載,下載之後就覆蓋
            ], {
              cwd: path.dirname(config.path),
              stdio: "inherit" //上傳下載過程同步到當前控制檯
            })

我們是使用著名的curl.exe完成這個工作的

當然可以自己寫程式碼模擬表單提交過程

PS

如果公司需要把所有的exe和dll都簽名,那麼就需要另外想辦法了

我曾經把electron-builder裡的程式碼改寫了,就為了滿足簽名的要求,真是一把辛酸淚

&n