使用 Sign CLI 对 VSIX 包进行签名
内容提要
现在可以使用Sign CLI更安全、现代的方式对Visual Studio扩展进行签名。签名VSIX包可以提高安全性、防止篡改，并与用户建立信任。Sign CLI是一个现代化的通用签名工具，支持从各种来源进行云端和本地签名，并可以轻松集成到CI流程中。要使用Sign CLI签名扩展包，首先需要获取有效的EV或标准证书。然后安装Sign CLI，并使用命令行工具进行签名。使用Sign CLI签名VSIX包可以使用PFX文件、Windows证书管理器或USB设备进行云端或本地签名。
延伸解读
Sign CLI 取代 VSIXSignTool 的意义
文章指出 Sign CLI 取代了旧的 VSIXSignTool，成为一个现代化、通用且积极维护的签名工具。这意味着开发者不再依赖可能过时的专用工具，而是使用一个持续更新、符合最新安全标准的工具。Sign CLI 支持云端和本地签名，并能无缝集成到 CI 流程中，这有助于提升扩展发布工作流的效率和安全性。
签名证书的选择与要求
要使用 Sign CLI 签名 VSIX，必须从公共证书颁发机构获取有效的 EV 或标准证书，且证书需使用 SHA 256、SHA 384 或 SHA 512 摘要算法。Windows 支持众多流行 CA 的证书，如 Certum、Comodo、DigiCert 等。开发者应确保所选证书符合这些要求，否则可能无法成功签名。
安装与离线场景的注意事项
Sign CLI 作为 dotnet 工具发布在 nuget.org 上，目前仍是预发布版本，安装时需添加 --prerelease 标志以获取最新版。对于隔离环境，可以下载 NuGet 包并通过 --add-source 指定本地路径进行离线安装。安装后可在 Visual Studio 集成终端或 Developer PowerShell 中使用。
签名方式与命令示例
Sign CLI 支持多种签名来源：PFX/P7B/CER 文件、Windows 证书管理器或带有 CSP 的 USB 设备，也支持 Azure Key Vault 云端签名。文章给出了使用 PFX 文件和证书管理器签名的命令示例，包括指定证书指纹、时间戳服务器等参数。开发者可根据自身环境选择合适的签名方式。
Q&A
如何使用Sign CLI对VSIX包进行签名？
首先安装Sign CLI，然后在Visual Studio的集成终端中使用命令行工具进行签名，支持使用PFX文件、Windows证书管理器或USB设备。
签名VSIX包有什么好处？
签名VSIX包可以提高安全性、防止篡改，并与用户建立信任。
我需要什么证书才能使用Sign CLI签名？
需要有效的EV或标准证书，支持SHA 256、SHA 384或SHA 512算法。
如何在离线环境中安装Sign CLI？
可以下载Sign CLI的NuGet包并使用命令进行安装，指定包的路径。
Sign CLI支持哪些签名方式？
Sign CLI支持云端签名和本地签名，使用PFX文件、Windows证书管理器或USB设备。
如何报告Sign CLI中的问题或反馈？
可以通过Sign CLI GitHub仓库的问题追踪器报告问题，或在Visual Studio开发者社区提交反馈票。
