软件交付前为何需要进行代码签名？为保护智能手/机用户，应用程序软件商店（如Windows Marketplace）现在要求应用代码签名技术，用代码签名证书（cs.anxinssl.com）对移动软件代码进行“签名”。创建一个“数字压缩包”，不仅能够验证软件代码的来源，还能确保代码并未被修改。
代码签名基于公共密钥加密法技术。开发者或软件发行商使用“私有”密钥，在软件代码中加设一个数字签名。例如，Windows Mobile 7移动平台，在移动应用程序下载过程中，使用“公共”密钥验证签名，将应用程序签名中的散列码与所下载程序中的散列码进行对比。
数字签名中的散列码用以确认文件内容，检验文件在签名后代码是否被更改或损坏。用户能够验证文件内容及软件的完整性，同时，发行商应该有能力及时有效召回损坏的证书。
理想情况下，移动代码签名的实现有两个数字认证——一个用来识别发行商，另一个用来识别内容。在这种情况下，发行商使用发行商身份标识号来签名代码，然后上传，再通过安全接口，由应用认证中心所提供的代码签名服务进行验证。一旦签名生效，它便会生成唯一的内容身份识别号，其中包括发行商身份和应用程序信息。
接下来，认证中心可以使用内容身份识别号对内容重新进行签名，随后，它就可以被确定为可信的并允许发布的代码了。如果应用程序中有潜在而敏感的应用程序编程接口（API），那么在签发内容身份标识号前，便要求有第三方评估。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/69933154/viewspace-2934200/ ，如需转载，请注明出处，否则将追究法律责任。
