Adobe AIR 代码签名证书及签名指南

http://***/Support/Adobe_AIR_Signing_guide.htm

Adobe AIR 代码签名证书( WoSign Code Signing Certificate for Adobe AIR )使得软件开发者能对其使用Aobe AIR技术开发的软件代码(HTML、XML、Flash、Flex、Ajar等)进行数字签名，让其用户通过网络平台( 互联网或内部网 )下载时能确信此代码没有被非法篡改和来源可信，从而保护了代码的完整性、保护了用户不会被病毒、恶意代码和间谍软件所侵害，当然也就保护了软件开发商的 利益，使得软件开发商能安全地快速地通过网络发布软件。为了保护软件开发商和最终用户的利益，Adobe AIR 软件数字签名是强制要求。

本使用指南根据Adobe网站有关文档翻译整理，请同时参考如下原文：
    (1) Adobe AIR 入门
    (2) Packaging an AIR installation file using the AIR Developer Tool (ADT)
    (3) Digitally signing Adobe AIR applications

    请注意：以上文档要求用FireFox火狐浏览器申请Adobe AIR 代码签名证书，比较复杂。WoSign充分了解广大用户已经非常熟悉 WoSign 微软代码签名证书 的申请和使用，所以，我们的《Adobe AIR 代码签名证书申请指南》完 全是同微软代码签名证书一样的方式使用IE浏览器申请证书，因为 Adobe AIR 数字签名同时支持 Java keystore file (.keystore) 和 PKCS12 file (.p12 or .pfx) 等证书格式。 本指南基于IE浏览器申请的PFX格式证书来签名AIR文件。

1.签名工具下载和安装

    请确保您已经 下载 Adobe AIR 和 下载免费的 Adobe AIR SDK ，同时，也要确保您的电脑上已经下载和安装SUN Java 6 JDK，签名工具需要Java支持。请注意：用户使用环境只需要下载和安装 Adobe AIR 即可，不要搞混淆了。

2. Adobe AIR 为什么要数字签名？使用Adobe AIR 代码签名证书 签名和使用自签证书签名有什么不同？

    应用软件数字签名就是让用户通过网络平台( 互联网或内部网 )下载时能确信此代码没有被非法篡改和来源可信，从而保护了代码的完整性、保护了用户不会被病毒、恶意代码和间谍软件所侵害，当然也就保护了软件开发商的 利益，使得软件开发商能安全地快速地通过网络发布软件。为了保护软件开发商和最终用户的利益， Adobe AIR 软件数字签名是强制要求的。

    由于Adobe AIR 软件数字签名是强制性的，为了方便软件开发者在没有购买证书之前能先尝试数字签名的效果和好处，并方便测试软件代码，Adobe AIR支持自己制作证书签名。如果您使用Adobe AIR提供的签名工具使用自签证书签名，运行软件后的显示效果如下图1所示，会显示一个红色大问号：发行商：未知，同时显示一个红色叉：发行商身份：未知。

 

    而如果您使用WoSign颁发的 Adobe AIR 代码签名证书 签名air文件，运行软件后的显示效果如下图2所示，会显示一个黄色大问号：发行商：您的公司名称(中文或英文) ，同时显示一个绿色勾：发行商身份：已验证。表明此软件发行商的真实身份是经过权威第三方验证过的。

3. 文件打包和签名指南

    假设您已经成功安装 Adobe AIR SDK，则 C:\AdobeAIRSDK\bin 目录下有两个有用的工具软件：ADL和ADL，请把此目录设置为 path环境变量。假设您的应用软件目录为：d:\myair\source\myapp.xml，并把您申请的Adobe AIR 代码签名证书 导出的PFX证书：mycert.pfx 也拷到该目录下，进入DOS命令符方式，使用如下命令打包和签名：

adt -package -storetype pkcs12 -keystore mycert.pfx myapp.air myapp.xml .

    这里：myapp.air就是打包后生成的已经签名文件，myapp.xml就是要打包的文件，可以是许多个相关文件，如： myApp.xml myApp.html AIRAliases.js image.gif 等。

    运行后会提示输入您的证书密码，就是您导出证书时设置的密码，回车就完成打包和签名，就可以部署供客户下载运行了。

    如果您还没有购买 Adobe AIR 代码签名证书，则也可以使用以下命令制作一个自签证书用于测试签名，但如上图1所示，会显示：发行商：未知 。 进入DOS命令符方式，输入以下命令生成自签证书，自签证书文件名为：testcert.pfx

adt -certificate -cn selfsign -ou test -o test -c CN 1024-RSA testcert.pfx password

    成功生成自签证书后就可以使用以上打包和签名命令来签名了。请注意：自签证书仅用于测试用，商业发行的软件还必须购买 Adobe AIR 代码签名证书 来签名您的.AIR文件。

    请注意：使用 Adobe AIR 代码签名证书 来签名您.air代码时签名工具 ADT 会自动加上免费时间戳。 时间戳服务非常重要，添加时间戳后，即使您的代码签名证书已经过期，但由于您的代码是在证书有效期内签名的，则时间戳服务保证了 此代码仍然可信，最终用户仍然可以放心下载，使得即使代码签名证书已经过期，您也无需重签和重新发布已经签名的代码。

转自：http://www.samhy.com/article/124.htm