本文基于我在准备发布 Windows 桌面应用过程中的真实经历整理而成。内容最早发布在韩国开发者社区，后经重新整理。价格和政策随时可能变动，付款前请务必在官方页面再次确认。
0. 一切的起点
我是一个对编程一无所知的前咨询顾问——连 Hello World! 都不会输出，只会在 Excel 里用 Ctrl+C / Ctrl+V。被公司裁员后，我借助 AI 开始摸索”氛围编程”（vibe coding），第一个项目就挑战了高难度的桌面应用。
当我终于准备好让朋友们在 MacBook 和 Windows PC 上试用时，所有人都反馈了同一个问题：装不上。我这才知道，安装型应用需要代码签名和公证——用来证明文件在传输过程中未被篡改。
然而，要完成这一切所需的流程和费用远超我的预期。
1. 签名和公证的实际花费
Mac 端出乎意料地顺畅。
- Apple Developer 注册费每年
约650元人民币（$99 USD） - 注册后的打包、签名、公证流程比预想流畅得多
- 实际安装和自动更新体验也很稳定
在我这边，注册完成后接入 Codex，从打包到签名、提交 Apple 服务器、完成公证，几乎像一套自动化流水线一样运转。在朋友的 MacBook 上运行安装包时，安装顺利完成，没有出现”未知开发者”警告，electron-updater 的自动更新也正常工作。
但 Windows 端完全是另一番景象。
- OV 代码签名证书本身就很贵
- 通过本地代理商购买会进一步加价
- 有些供应商还强制要求购买 YubiKey 等 USB 物理密钥
- 每次签名都要连接硬件，不利于 CI/CD 自动化
2. Windows OV 代码签名为何对独立开发者如此苛刻
要在 Windows 上避开 SmartScreen 拦截和安装阻止，就必须使用受信任的证书体系并通过企业验证——无论你是个人还是公司。我当时查到的证书等级有 IV / OV / EV，至少要 OV 级别才现实。
问题出在本地代理商模式上。他们代你向 SSL.com 或 DigiCert 等海外 CA 申请，但加价幅度惊人。证书本身已经很贵，自动化又困难，还要额外收取物理密钥费用，实在令人难以接受。
对于我这种完全依赖 AI 编码助手的人来说，如果无法实现自动化签名，就意味着每次都要准备一台 Windows 笔记本、插上 USB 密钥、手动签名并公证——这完全不现实。
于是我先在韩国社区提了问：
大多数人的回答是”本来就这样”，但我怎么也无法接受。
3. 在 Reddit 找到的替代方案：SSL.com 直购 + Cloud eSigner
真正有用的信息来自英文开发者社区。AI 给的答案往往太笼统，但 Reddit 上实际发布过 Windows 应用的开发者分享了更实用的方案。
最初，微软的 Azure Trusted Signing 看起来也不错——价格合理、自动化程度高。但当时主要面向加拿大和美国的个人开发者，我暂时用不了。
最终我选择了 SSL.com 直购 + Cloud eSigner 的组合。
我当时查到的价格大致如下：
- 传统 USB 密钥方案的总费用大约在
500 美元上下 - 而 OV 证书 128 美元 + Cloud eSigner 20 美元/月 的组合是一种更新的灵活方案
- 这是我找到的最便宜且最适合自动化的选项
这个方案吸引我的三个原因：
- 完全省去了代理商的加价
- 不用苦等物理 USB 密钥发货
- 后续可以接入 Codex 实现签名自动化
4. SSL.com 证书签发过程中遇到的真正难关
Cloud eSigner 服务本身很有吸引力。月费虽然是一笔持续支出，但免去了物理密钥的等待，且对自动化非常友好。
真正难的是签发流程本身：
- 个体工商户证明文件
- 个人身份核验
- 证明本人确实存在
- 证明企业确实存在
这些都过了之后，SSL 又提出了新要求：提供 D-U-N-S 号码用于核实地址、电话和邮箱。
我当时就想：这么重要的条件，为什么不提前说清楚？
5. 转机：通过 Apple Developer 申请 D-U-N-S
独立申请 D-U-N-S 号码可能需要额外的费用和流程。我又一次卡住了，甚至开始怀疑”省钱直购，最后反而花更多”。
但 Reddit 再次给了我方向。有人分享了这个技巧：
如果你已经是 Apple Developer 注册会员，Apple 可以帮你对接 D&B，以开发者商业化为目的申请 D-U-N-S。
我参考的官方文档如下：
之所以重要，是因为已经在 Apple 生态中准备应用商业化的开发者，可以直接复用相同的企业信息。我凭借这条路径，以 "K-garoo Works" 名义较快地拿到了 D-U-N-S 号码。
毫不夸张地说，如果没有这条路径，我在试图便宜搞定 Windows 证书的过程中差点花掉更多的钱。
6. 拿到 D-U-N-S 号码并不是终点
多亏 Apple，我比较快地拿到了 D-U-N-S 号码。但事情并没有就此结束。
把号码提交给 SSL 后，对方说他们无法查询因此无法验证。我自己也去查了公开查询网站，发现海外企业的信息很多时候并没有被正确收录——链接看起来有效，但实际查询不到任何结果。
当时的状况是这样的：
- 在 Apple 账户中可以查到 ✓
- 在 D&B 签发方的管理页面可以查到 ✓
- 但供第三方公开查验企业的链接失效或不稳定 ✗
号码签发了却无法公开查验——这让签发本身的意义变得模糊。
7. 最终找到验证通道，成功拿到证书
后来我才得知，自前一年 12 月底以来，欧洲方面的个人/企业信息共享政策与美国运营方之间产生了分歧，导致即使查询链接显示正常，实际查询也会被拦截。
于是我花了整整三天三夜与 SSL 客服反复沟通，最终和客服一起找到了一条仍然可以验证的路径。部分贸易相关的企业信息验证通道仍支持基于 D-U-N-S 的查询，这就是我抓住的最后一根线。
经过三天的沟通，我终于收到了证书，并成功配置了 Cloud eSigner。在 Codex 的协助下完成。
这个方案最适合哪些人
以下情况的开发者会从本文获益最多：
- 已有 Apple Developer 会员资格，Mac 端分发已基本就绪
- 需要发布 Windows 安装包的独立开发者或小团队
- 觉得本地代理商费用过高，想直接向 CA 申请
- 希望将签名流程集成到 CI/CD 自动化管线中
反过来，如果你的企业架构复杂，或不同国家的审查标准频繁变化，从一开始就直接联系官方支持可能更高效。
核心结论
用一句话概括我的整个经历：
Windows OV 代码签名真正困难的地方，不是”到哪里买证书”，而是如何以最低成本、最高效率通过企业验证和 D-U-N-S。
我实际走过的路径如下：
- Mac 端先用 Apple Developer 搞定
- Windows 端不急着找本地代理商，先看直购路径
- 评估 SSL.com 直购 + Cloud eSigner 组合
- 借助 Apple Developer 渠道申请 D-U-N-S
- 如有需要，通过 D&B 支持通道完成最终验证
快速链接汇总
常见问题
Windows OV 代码签名证书必须通过本地代理商购买吗？
根据我个人的经历并非如此。但企业验证和签发政策可能随时间变化，建议付款前再次查看官方页面。
有 Apple 开发者账户就能免费获得 D-U-N-S 吗？
我使用的是已持有 Apple Developer 会员资格、以应用商业化为目的申请企业验证的路径。这不会自动适用于所有情况，请同时参考 Apple 和 D&B 的官方说明。