我正在考虑从VeriSign或Thawte购买代码签名证书，用于给XBAP进行签名。我的问题是：当证书过期时会发生什么？1年/2年证书的价格非常高昂，如果每次证书到期都必须向客户交付新的已签名版本，那么我现在就只能自己创建证书了。
我不喜欢自己创建证书的原因是在将其分发到将使用我的XBAP的所有客户端机器上时存在困难。我的应用程序只会在局域网上使用，所以我想我可以始终使用Windows Installer来安装我的自制证书（尽管我不确定如何操作-有人有什么想法吗？）。
如果我要发布部分信任的应用程序，这并不是一个问题，但我的应用程序需要Web权限，因为它将要与WCF服务通信，所以它处于部分信任和完全信任之间的灰色地带。没有证书，我会收到“Trust Not Granted”消息，无法加载我的XBAP。
有什么想法吗？
例如，在VS.NET 2017中，您可以按照以下步骤执行：
如果链接无法使用，您可以使用任何服务，下面是一些可用的链接：https://dev59.com/LGkw5IYBdhLWcg3wrsrn#9714864
注意Windows Defender。
您永远不希望证书过期，或者尽可能长时间，似乎是10年。
一旦您的证书过期，Windows将不会将替换证书识别为原有证书。您的应用程序将排队到末尾，就好像它是由完全不同的组织签署的。
这意味着如果用户下载您的软件，他们将收到令人讨厌的消息，并且根据组策略可能无法运行您的代码。这将持续到大量不同的人忽略了严重警告并安装了您的软件。
当然，时间戳服务器将使现有程序在证书过期后运行，但升级将成为一个问题。
对于本地使用的软件来说，这不是问题，但如果您想广泛分发您的软件，则是一个大问题。
BCran说：“代码签名证书之所以如此昂贵，是因为必须有人验证您就是您所说的那个人。”
请原谅我的愚蠢，但是否有人想过这样一个想法：开发人员可以在构建应用程序时自行计算其精确大小，并决定是否将开发人员的身份与计算出的数字一起插入加密形式的哈希值到应用程序中，并决定是否限制应用程序的使用时间或使其永久工作（因为已经在用户机器上的可执行代码不太可能在1、3、5、10、100、100万年后自行恶化或更改）？
此外，验证电话号码和/或地址并没有任何区别。如果开发人员选择更改这些信息，这些信息很容易更改，但应用程序的代码则不能。
优点： 开发人员执行此任务不需要任何费用。同时，只要用户希望使用该应用程序（或被开发人员允许使用），并且应用程序保持未被篡改，用户仍然可以确保有效和安全的应用程序。或者必须像苹果和微软以及证书颁发机构一样，诱导开发人员不断接受支付此服务的要求吗？
注意：我天真而最初的理解是，代码签名应用程序的目的是防止任何人篡改应用程序的代码。但是，我越看越觉得这更像是第三方个人和组织从富人和不那么富有的开发者身上赚钱的机会。好吧，有人必须尝试找出你是谁。但是，我在互联网上看到的价格差异如此之大，以及对1或3年期限如此强调，没有永久终身签名应用程序的选择，这表明我们有一些人在城市中拥有非常昂贵的办公室，以支付他们的租金和高额薪水。
为什么开发人员不要求苹果和微软提供对开发人员口袋更友好且同样安全的安全解决方案？或者在开发人员的网站上下载时给出最终安装程序文件的确切字节大小，用户可以进行检查。从所述内容中增加或减少的任何字节都足以告诉用户存在问题。强制开发人员拥有自己的网站，以便每个人都可以看到他们是谁以及从哪里获取合法且未被篡改的软件副本，并结束软件下载站点从其站点下载开发人员软件的情况。所有操作都应从开发人员的网站上进行，而不是其他任何地方。
代码签名证书是不可“管理”的，这意味着它们不会自行更新...很有可能在到期后你需要购买一个新的。
你可以设置认证机构 (CA) - 如果你只使用windows系统的话，建议选择基于windows的CA，但如果不是的话，我建议使用像DogTag Certificate System这样的Linux工具。
请注意，如果您创建自己的CA，您需要导出公共CA证书并安装它（以使其作为根CA受信任）在任何运行由该CA发行的已签名代码/脚本的服务器上。与每隔X年支付证书相比，这要便宜得多（甚至免费？）-更不用说您可以为各种原因/用途发行的其他证书了！
