Sublime进行代码签名与公证_自动化macOS与Windows应用发布流程

Sublime Text 不具备代码签名与公证功能，仅用于编写代码；真正的签名和公证需通过终端或 CI 工具对构建出的应用（如 macOS 的 .app 或 Windows 的 .exe）执行，涉及证书签名、Apple 公证服务提交与票证植入、Windows signtool 签名等步骤。

Sublime Text 本身不提供代码签名或公证功能，它只是一个文本编辑器。如果你看到“Sublime 进行代码签名与公证”，大概率是误解或表述偏差——真正需要签名和公证的是你用 Sublime 编写、构建出来的 macOS 或 Windows 应用（比如用 Electron、PyInstaller、Swift、C# 等打包的 app/exe）。

macOS 应用签名与公证关键步骤

苹果要求所有分发到 Mac 的应用必须：① 用 Apple Developer 账户的 Developer ID 证书签名；② 提交到 Apple 的公证服务（Notarization）验证；③ 在签名后植入公证票证（staple）。Sublime 只负责写代码，这些操作需在终端或 CI 中完成：

• 用 codesign --sign "Developer ID Application: XXX" --entitlements Entitlements.plist MyApp.app 签名
• 用 xcrun altool --notarize-app --primary-bundle-id "com.example.myapp" -u "apple@id.com" -p "@keychain:AC_PASSWORD" --file MyApp.zip 提交公证
• 等待返回成功后，运行 xcrun stapler staple MyApp.app 植入票证
• 最后用 spctl --assess --verbose MyApp.app 验证是否通过

Windows 应用签名要点（.exe / .msi）

Windows 不强制签名，但未签名程序会被 SmartScreen 拦截、UAC 弹窗标“未知发布者”。签名需使用 EV 或 OV 类型的代码签名证书（如 Sectigo、DigiCert），常用工具是 signtool.exe（来自 Windows SDK）：

• 签名可执行文件："C:Program Files (x86)Windows Kits10bin10.0.22621.0signtool.exe" sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /sha1 [CERT_THUMBPRINT] MyApp.exe
• 签名安装包（MSI）同样支持，但需确保哈希算法与时间戳服务兼容（推荐 SHA256 + RFC3161 时间戳）
• 签名后建议用 signtool verify /pa MyApp.exe 检查有效性

自动化发布流程怎么整合 Sublime？

Sublime 本身可通过 Build System 调用 shell 脚本或 Makefile，间接触发签名 / 公证流程，但不推荐在编辑器里直接做发布。更合理的方式是：

• 把签名 / 公证逻辑写成独立脚本（如 build-mac.sh 或 publish-win.ps1）
• 在 Sublime 中配置 Build System，调用该脚本（"cmd": ["sh", "build-mac.sh"]），适合快速测试
• 生产环境应交给 GitHub Actions / GitLab CI / Fastlane 等平台自动执行：提交打 tag → 构建 → 签名 → 公证 → 上传 → 发布 Release
• 敏感凭据（如 Apple API Key、证书密码）务必存于 CI 的 secret 环境变量中，不要硬 编码 或提交到仓库

常见坑与注意事项

签名和公证失败往往不是技术问题，而是配置或权限疏漏：

• macOS 公证失败常因缺少 com.apple.security.legacy-keychain-access 权限、未禁用 hardened runtime、或 Info.plist 中 CFBundleIdentifier 不匹配证书绑定域名
• Windows 签名后仍被拦截？检查是否用了老旧 SHA1 证书、未加时间戳、或签名时未递归签名依赖 DLL
• Sublime 保存的文件默认无执行权限，若脚本用于构建，记得 chmod +x；macOS 下还需注意文件扩展名是否被系统隐藏（如 .app 实际是目录）
• Apple 公证可能耗时数分钟到十几分钟，CI 中需加入轮询逻辑（altool --notarization-info）而非固定 sleep

基本上就这些。Sublime 是趁手的刀，但签名和公证是交付前的安检流程——得靠外部工具链和平台配合完成。别指望编辑器替你点“发布”按钮，但可以把它变成一键触发整条流水线的快捷入口。