3. 代码签名证书类型与选型
代码签名证书并不是一种单一产品。它按“验证强度、私钥存放方式、签名主体类型”三个维度分化出多种形态。选错类型，轻则签名后仍被 SmartScreen 拦截，重则无法通过企业合规审计。本节先把各类型的差异讲清，再给出可落地的采购决策方法。
一、先厘清一个常见误解：OV 与“组织验证”不是两种东西
很多采购清单里会同时出现“OV 证书”和“组织验证证书”，这其实是同一类东西。OV 即 Organization Validation（组织验证），它的核心特征是：CA 不仅验证申请者对域名的控制权，还要核验申请组织的真实存在——营业执照、注册地址、电话回拨、D-U-N-S 编号等。因此 OV 证书的签名主体是企业或组织，而不是个人。
与之并列的是 IV（Individual Validation，个人验证）证书，即常说的个人开发者证书。它验证的是自然人身份，签名中显示的是个人姓名而非公司名。二者在技术格式上都是 X.509 证书，区别在于证书 Subject 字段中的 O（Organization）与 CN（Common Name）承载的信息，以及 CA 的验证深度。
二、EV 代码签名证书：验证最严，信任最高
EV（Extended Validation，扩展验证）是验证等级最高的一类。除 OV 的全部核验外，CA 还会做更严格的实体审查，并且私钥必须存放在符合 FIPS 140-2 Level 2 及以上标准的硬件令牌（USB Token 或 HSM）中，私钥不可导出。这一条是 EV 与 OV 最本质的工程差异：它决定了签名流程必须依赖物理硬件或云端 HSM。
EV 的实际价值体现在两处：一是对 Windows 内核驱动、部分平台的高信任场景，EV 签名是硬性要求；二是历史上 EV 证书能较快建立 SmartScreen 信誉。但需注意，自 2021 年前后各大浏览器与平台调整策略后，“EV 立即获得 SmartScreen 信任”已不再绝对成立，信誉仍需通过持续、稳定的签名行为积累。因此不能把 EV 简单理解为“花钱买免拦截”。
三、云签名证书：把私钥从 U 盘搬到 HSM 服务
传统 OV/EV 证书签发后，私钥要么在本地文件（受密码保护），要么在 USB Token 中。云签名证书（Cloud Signing / Remote Signing）改变了这一形态：私钥生成并保存在 CA 或可信服务商的云端 HSM 中，签名时通过 API 或客户端工具发起请求，私钥永不出云。
它的优势很直接：支持 CI/CD 流水线自动化签名，无需人工插拔 Token；多团队可共享同一签名身份并做权限审计；私钥丢失风险大幅降低。代价是签名依赖网络与服务商可用性，且通常按签名次数或订阅周期计费。对于有持续集成发布需求的企业，云签名往往是比“买 Token 发给某个人”更合理的工程选择。
四、五类证书的差异对照
下表把关键差异集中呈现，便于横向比较。表中参数为常见行业实践，具体以所选 CA 的当前政策为准。
| 类型 | 验证对象 | 私钥存放 | 典型适用场景 | 自动化签名 |
|---|---|---|---|---|
| OV（组织验证） | 企业/组织实体 | 文件或 Token | 企业桌面软件、内部工具分发 | Token 模式较难 |
| EV（扩展验证） | 企业实体，审查更严 | 强制硬件 Token / HSM | 内核驱动、高信任要求发布 | 需 HSM 或云方案 |
| 个人开发者（IV） | 自然人身份 | 文件或 Token | 开源项目、个人作品、学习发布 | 有限 |
| 云签名（OV/EV 云化） | 同 OV 或 EV | 云端 HSM，不可导出 | CI/CD 自动发布、多团队协作 | 原生支持 |
需要强调：云签名不是独立的验证等级，它是 OV 或 EV 的一种私钥托管与签名交付方式。采购时应先确定验证等级（OV 还是 EV），再决定交付形态（Token 还是云）。
五、采购决策：先定等级，再定交付形态
把上面的差异落到采购动作，可以按三个问题依次判断。
第一问：签名主体是企业还是个人？若以公司名义发布商业软件，必须选 OV 或 EV，个人证书无法承载企业身份，也无法通过企业合规审查。若是开源项目或个人作品，IV 即可，成本最低。
第二问：是否涉及内核驱动或高信任场景？Windows 内核模式驱动签名、部分安全软件白名单、特定行业准入，通常要求 EV。若只是普通桌面应用或脚本分发，OV 已足够。
第三问：是否需要 CI/CD 自动签名？若发布频率高、由流水线自动构建，应优先考虑云签名。传统 Token 需要人工插入并输入 PIN，无法在无人值守的构建机上稳定运行；而把 Token 长期插在某台机器上又违背私钥保护原则。
六、一个可参考的选型示例
假设某团队开发一款 Windows 桌面客户端，通过 GitHub Actions 自动构建并发布，不涉及内核驱动。按上述三问：主体是企业 → 排除 IV；非内核驱动 → 排除 EV；需要自动签名 → 选择云签名。最终结论是OV 等级的云签名证书。
若该团队后续要发布一款内核过滤驱动，则等级需升级为 EV，交付形态仍可选云签名（前提是服务商支持 EV 云签名）。可见“等级”和“形态”是两个独立维度，采购前务必分别确认，避免出现“买了 EV Token 却无法接入流水线”或“买了云签名却发现等级不够”的返工。
总结本节要点：OV 与组织验证是同一概念；EV 的核心差异在于更严的实体审查与强制硬件/HSM 私钥保护；个人开发者证书面向自然人；云签名是 OV/EV 的私钥托管与交付方式，而非独立等级。选型时按“主体 → 信任等级 → 交付形态”三步走，即可得到与业务匹配的采购结论。