我应该StrongName / StrongSign OSS dll吗？

Question

我有许多开源项目，也有可用的Nuget包。

最近，我被要求对这些OSS NuGet软件包之一进行Strong-Sign（为简明起见，软件包中的DLL）。

所以-问题：

1. 如果我对它进行了强签名，可以使用其他没有强签名的dll来使用它吗？
2. 我是否/应该将.snk文件提交到公共存储库中吗？ 如果是的话，那会否破坏“秘密”签名的目的？

干杯!

Answer 1

这是一组有趣的问题。

如果我对它进行了强签名，可以使用其他没有强签名的dll来使用它吗？

我相信答案是肯定的。 强有力的签名是创建“信任链”的一种手段。 您可以使用经过强签名的dll，而无需对使用中的dll进行强签名。

我是否/应该将.snk文件提交到公共存储库中吗？ 如果是的话，那会否破坏“秘密”签名的目的？

是。 如果发布.snk文件，那么您将无法实现强签名的目的（大部分情况下），因为任何人都可以对您的dll进行签名。 想要使用可公开使用的源项目的人应负责自己使用的签名。 如果您有客户想要它，或者仅以二进制形式分发项目，则可以对其进行签名，但是将私钥（snk）保持私有。