electronr进行签名与公证

windows:

1.设置package.json的有关window打包的相关内容

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
"win": {
   "icon": "build/icons/icon.ico",
   "target": [
     {
       "target": "nsis",
       "arch": [
         "x64",
         "ia32"
       ]
     }
   ],
   "verifyUpdateCodeSignature": false,
   "signingHashAlgorithms": [
     "sha256",
     "sha1"
   ],
   "signDlls": true,
   "rfc3161TimeStampServer": "http://timestamp.digicert.com",
   "certificateFile": "xxx.pfx",
   "certificatePassword": "xxxxxx"
 },       

主要参数说明:

 'arch:代表需要打包的位数,win64代表打包64位的,ia32代表打包32位的,最好分开打包,因为一起打包的话最后出来的包是正常开发包的两倍。

'signingHashAlgorithms':代表加密的方式,一般分为'sha256'与'sha1'两种方式,都进行加密即可。

'rfc3161TimeStampServer':代表时间戳,一般使用'http://timestamp.digicert.com'来进行时间戳的覆盖即可

'certificateFile':证书的地址,必须位pfx格式(如何导出会在第二步的时候进行讲解)

'certificatePassword':证书的私钥密码,这个在配置证书的时候进行设置(第二步进行讲解)

 

2.导出pfx格式的证书

windows的证书需要去有相关资质的商家进行购买,我是在数安时代购买的,现在买的证书都是以签名狗(类似与银行的u盘)的方式进行发放,确保了安全性的问题。在插上签名狗的时候,会自动下载一个证书管理工具软件,在上面可以可以修改密码,即上面第一步certificatePassword参数的值。

 

 记得先把cer证书安装到本地计算机,路径的时候一定要选安装到本地计算机

 

问题:

但是有个最大的问题就是,无法进行导出pfx证书,只能导出cer格式的不带私钥的证书。它可以对已经打包完的exe进行签名,很明显这对electron来说是不合适的。对打包完的exe进行签名,会导致无法升级的问题,所以需要在打包的时候就将证书打进去。

解决方法:

打开数安时代的软件(本地未插签名狗,如果插入,此地会出现购买的证书),右键证书,导出cer格式的证书,然后修改后缀名为pfx,如导出的为test.cer,修改后缀名为test.pfx,放到项目的根目录下面,第一步的certificateFile修改为'test.pfx'即可(当然,test只是个例子,名字自定义)

 

 

3.进行打包

这个时候,windows上的签名已经可以了,运行你的打包命令吧!

1
npm run build

 由于我们导出的是不带私钥的pfx证书,所以在打包过程中会弹出弹窗提示你需要输入密码,输入你在第二步的密码即可。全程中不能拔下来你的签名狗,不然签名会断开。

 

 

 运行成功之后,在你的打包出来的exe上进行右击属性,即可看到签名成功:

 

 

 

 

 

macOS:

1.制作本地CSR文件:

   首先你得需要一个appleId的账号,登陆在你的mac上,然后进入钥匙串访问(在启动台打开),打开证书助理--->从证书办法机构请求证书

 

 

 

 这个时候会出现证书助理的弹窗,选择存储到U盘,输入自己常用的email地址即可,点击继续

 

 

 最后会生成一个CSR的文件,这个文件就是我们接下来需要的东西,我把它放到了桌面

 

 

 

 

2.生成Developer ID Application证书

  登陆 https://developer.apple.com/account/resources/certificates/add 这个地址,然后生成你的Developer ID Application证书 ;

  首先点击Certificates,选择添加

 

 

 选择Developer ID Application类型的证书,这里需要注意的是,electron打包的桌面应用必须试用这个证书。

 

 

 

 

 然后开始选择CSR文件,就是第一步导出的文件

 

 导入完毕之后,你就可以看到自己生成证书的信息了,黄色箭头指向的信息为提示14.10.5以及以上系统需要去公证,公证的步骤下面说,最后点击下载即可:

 

 

 3.将生成的证书导入到钥匙串中

点击证书,自动添加到了钥匙串中,在钥匙串中进行访问:

 

 

 右击,查看详情,然后设置信任为始终信任:

 

 

 至此,证书在钥匙串里面已经设置完毕,导出为p12文件

 

 

 导出文件的路径要记住,因为我们下一步设置环境变量需要用到

 

 

 

 4.生成Identifiers,获取BundleId

点击网址左侧的Identifiers选项,进行添加

 选择App ID进行添加

 

 

 这个时候会让你自定义名称,按照他的提示自定义一下,如 com.mac.test,这个要记住,因为后面我们要用它来配置package.json

 

 

 5.配置环境变量

如果不配置环境变量的话,在mac是electron是无法获取到本地的证书的,所以,打开你的终端(mac的终端命令和LINUX很相似)

输入:

1
sudo vim ~/.bash_profile

进入配置环境变量;

继续输入:

1
export CSC_LINK = ~/zs/mac.p12<br>export CSC_KEY_PASSWORD=***

这行命令是为了寻找你的p12证书,然后加入到环境变量中,zs/mac.p12为第三步导出的证书的绝对地址

1
CSC_KEY_PASSWORD为你导出证书设置的密码

然后按键盘上的esc建进行退出;

在终端上继续输入:

1
:qw

 

1
source ~/.bash_profile

 进行重载环境变量

输入

1
env

 查看环境变量配置的结果:

 

 

 注意:如果配置完成之后,多次重载都发现环境变量不能正确更新到列表中,这时应该先退出终端,然后再登录终端查看环境变量即可看到更新完成。

 

6.进行公证

其实到第五步,运行命令

1
npm run build

 

 

 

 

是没有任何问题的,也是可以进行升级的操作。(这个地方记得要把app拖到Applications中之后,再在程序坞中打开,不然无法进行升级)

注意:通过钥匙串的方式进行代码签名,进而实现自动更新之后,appId应一致,打包应用后不能随意更改新的appId字段。否则会被认为是两个不同的应用而无法更新。

 

但是从MacOS 10.14.5开始,所有“新”开发人员签名的App都需要进行公证(Notarization),否则将触发苹果的Gatekeeper,阻止用户安装你的App。这意味着,除了对 App 进行签名,还需要对其进行公证。如果你尝试启动应在MacOS 10.14.5上未经公证的Appp,则会看到以下的错误消息:

 

 

 

 这是因为mac为了保证安全,对除App Store以外的应用进行公证,以确保没有恶意代码,相关内容在这里:https://support.apple.com/zh-cn/HT202491?_blank

官方文档给的方法是用xcode提交到苹果的公证进行公证,但是这方法对于electron来说是不合理的,electron所做的是打包的时候就把一切问题解决了,所以,还是需要在打包的根源上寻找解决方法:

 

1.安装electron-notarize

运行命令:

1
npm i electron-notarize --save-dev

2.使用hardened runtime构建App

在添加公证时,苹果偷偷加入了一项要求,即App的 runtime 必须是 hardened runtime ,这在默认情况下会减少应用程序的权限。这不一定是坏事,但还有一件事需要考虑。

在一个 hardened runtime 中App需要两件事:

  • 在 electron-builder的 mac配置选项中设置 "hardenedRuntime": true ;
  • 设定正确的权限。

如果运行 hardened runtime 时,则至少设置一个非常重要的权限:“allow-unsigned-executable-memory”。您可以在此处指定更多权限,但这是Electron App所需的唯一权限。我在public文件夹下新建名为entitlemets.mac.plist的文件:

1
2
3
4
5
6
7
8
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>com.apple.security.cs.allow-unsigned-executable-memory</key>
    <true/>
  </dict>
</plist>

在 electron-builder的 mac配置选项中,需要将entitlementsentitlementsInherits的值同时设置为上述文件的路径。通过entitlementsInherits这个配置可以授予Electron在内部访问权限文件时相同的权限。

1
2
3
4
"mac": {
  "entitlements": "build/entitlements.mac.plist",
  "entitlementsInherit": "build/entitlements.mac.plist"
},

 

 

3.使用有效的开发者ID进行签名

只有当你的 Mac上安装了有效的开发人员ID时,才能对App进行公证。Electron-bulder将自动从钥匙串中获取一个有效 ID 进行签名。这就需要你有一个Apple的开发者账号。关于这一点,不再赘述。

但是,electron-builder使用的签名工具(electronic -osx-sign)会进行完整性检查以验证签名是否成功。在MacOS 10.14.5之前,这个完整性检查将返回True,但在MacOS 10.14.5 中,它会返回False。因为虽然签名进行完毕了,但应用程序还没有公证信息,所以会返回错False。

所以我们需要禁用这种完整性检查。你可以通过在electron-builder的mac配置中设置“gatekeeperAssess”:false来实现。

最后,我们来看下 mac 参数的配置情况吧:

1
2
3
4
5
6
"mac": {
  "hardenedRuntime" : true,
  "gatekeeperAssess": false,
  "entitlements": "build/entitlements.mac.plist",
  "entitlementsInherit": "build/entitlements.mac.plist"
},

  

4. 使用electron-notarize公证App

接下来则是关于公证的部分。我们使用的工具叫 Electron-notarize 。因为只需要在开发阶段使用,因此请将其安装到 devDependency。

这个工具可以完成公证的所有工作:将App打包并上传到Apple的服务器,等待公证成功,然后给App加入公证信息。这些流程是异步发送的,构建过程会增多不少时间。

App应该在签名之后,打包成DMG之前进行公证。Electron-builder 有一个afterSign的钩子,通过执行对应的 js 文件。这个配置选项在“build”配置中。

1
2
3
"build": {
  "afterSign": "scripts/notarize.js"
}

  notarize.js代码如下:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
const { notarize } = require('electron-notarize');
 
exports.default = async function notarizing(context) {
  const { electronPlatformName, appOutDir } = context; 
  if (electronPlatformName !== 'darwin') {
    return;
  }
 
  const appName = context.packager.appInfo.productFilename;
 
  return await notarize({
    appBundleId: 'com.yourcompany.yourAppId',
    appPath: `${appOutDir}/${appName}.app`,
    appleId: '',
    appleIdPassword: '',
  });
}

  

我们只需要签署MacOS,所以如果我们不在darwin(macOS的内部名称)上,我们返回并且不运行公证代码。

为了更好的安全性,请考虑使用此处概述的MacOS钥匙串:使用appleIdPassword时的安全性。

说到用户凭证。这是您的Apple ID,但是您需要生成一个特定于应用程序的密码(所以不要使用常规密码!)你可以在appleid.apple.com上创建一个。

 

5. 不要对dmg签名

在版本20.43.0之前,electronic -builder还签署了您的DMG安装程序。这实际上不是一个问题,但是在新的公证规则下,任何签署的东西都需要公证。

但是,如果对DMG安装包签名并公证,它实际上会触发之前看到的错误。这可能是 Apple 审核逻辑中的一个错误。既然这个错误存在,我们必须要使用未经过公证的DMG文件。Apple的Gatekeeper可以检测到DMG中的经过公证的.app文件,并且可以让用户正常打开App。

从electronic -builder 20.43.0开始,默认情况下DMG是无签名的。您可以通过在“dmg”配置中添加“sign”:false来显式地处理这种行为:

1
2
3
"dmg": {
  "sign": false
},

  

看一下最终的配置信息:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
"build": {
   "afterSign": "scripts/notarize.js",
   "productName": "",
   "appId": "******",
   "directories": {
     "output": "build"
   },
   "publish": [
     {
       "provider": "generic",
       "url": "******"
     }
   ],
   "files": [
     "dist/electron/**/*"
   ],
   "dmg": {
     "sign": false,
     "contents": [
       {
         "x": 410,
         "y": 150,
         "type": "link",
         "path": "/Applications"
       },
       {
         "x": 130,
         "y": 150,
         "type": "file"
       }
     ]
   },
   "mac": {
     "hardenedRuntime": true,
     "gatekeeperAssess": false,
     "entitlements": "build/entitlements.mac.plist",
     "entitlementsInherit": "build/entitlements.mac.plist",
     "icon": "build/icons/icon.icns"
   },
   "win": {
     "icon": "build/icons/icon.ico",
     "target": [
       {
         "target": "nsis",
         "arch": [
           "ia32"
         ]
       }
     ],
     "verifyUpdateCodeSignature": false,
     "signingHashAlgorithms": [
       "sha256",
       "sha1"
     ],
     "signDlls": true,
     "rfc3161TimeStampServer": "http://timestamp.digicert.com",
     "certificateFile": "sa.pfx",
     "certificatePassword": "Sp123456"
   },
   "linux": {
     "icon": "build/icons"
   },
   "nsis": {
     "perMachine": false,
     "oneClick": false,
     "allowElevation": true,
     "allowToChangeInstallationDirectory": true,
     "installerIcon": "build/icons/icon.ico",
     "uninstallerIcon": "build/icons/icon.ico",
     "installerHeaderIcon": "build/icons/icon.ico",
     "createDesktopShortcut": true,
     "createStartMenuShortcut": true
   }
 }

 

mac遇到的问题: 

1. 如果,在公证的时候出现了这个报错:

electron you must first sign the relevant contracts online

那你需要到你申请appid的网站上进行登陆一下,有个协议,同意一下即可。

 https://appstoreconnect.apple.com

 如此,mac和window的签名以及公证就全部完毕了。

 

2. electron  unable to build chain to self-signed root for signer

说明没权限,请使用sudo命令

 

3. Error: Exit code: ENOENT. spawn /usr/bin/python ENOENT

说明你的电脑系统不带python,需要先去下载一个python2.*然后安装

把python交环境变量里面:

复制代码
执行:
sudo vim ~/.bash_profile

输入:

export PYTHON_PATH=/Library/Frameworks/Python.framework/Versions/2.7/bin/python

重载变量:

source ~/.bash_profile
复制代码

此时还需要修改项目中的内容,有两个方案:

方案一: 

关机SIP系统(自行百度),然后执行:

sudo ln -s /Library/Frameworks/Python.framework/Versions/2.7/bin/python /usr/bin/python

方案二:

找到

node_modules/dmg-builder/out/dmg.js
 大概 261 行的位置,将/usr/bin/python修改为/Library/Frameworks/Python.framework/Versions/2.7/bin/python
   await builder_util_1.exec(process.env.PYTHON_PATH || "/Library/Frameworks/Python.framework/Versions/2.7/bin/python", [path.join(dmgUtil_1.getDmgVendorPath(), "dmgbuild/core.py")], {
        cwd: dmgUtil_1.getDmgVendorPath(),
        env,
    });

 

 

posted @   明明一颗大白菜  阅读(16641)  评论(7编辑  收藏  举报
编辑推荐:
· Linux系列:如何用 C#调用 C方法造成内存泄露
· AI与.NET技术实操系列(二):开始使用ML.NET
· 记一次.NET内存居高不下排查解决与启示
· 探究高空视频全景AR技术的实现原理
· 理解Rust引用及其生命周期标识(上)
阅读排行:
· 阿里最新开源QwQ-32B,效果媲美deepseek-r1满血版,部署成本又又又降低了!
· 单线程的Redis速度为什么快?
· SQL Server 2025 AI相关能力初探
· 展开说说关于C#中ORM框架的用法!
· AI编程工具终极对决:字节Trae VS Cursor,谁才是开发者新宠?
历史上的今天:
2017-09-05 将display设置为inline-block之后产生间隙然后换行问题的解决方法
<-- -->
点击右上角即可分享
微信分享提示