摘要：EV代码签名证书到期，并不必然要求所有历史安装包重新签名。应检查签名时的证书状态、可信时间戳及当前验证策略。主体变更则需要分别处理后续签名身份和旧包分发；发现密钥泄露等安全事件时，不能按普通到期方式判断。
证书快到期，发布人员开始翻找过去几年的安装包，担心这些文件会同时失效。另一边，公司刚完成更名，市场部门希望所有文件立刻显示新名称。
这两件事不应采用同一个处理办法。证书到期影响后续使用该证书签名的能力；历史签名是否仍可验证，需要看文件中的证据。公司名称变化则涉及新的身份信息和对外说明，不能仅靠调整签名日期解决。
旧包先验证 不要急着重签
先取得实际对外分发的文件，检查签名、时间戳和验证结果。应检查最终下载渠道中的包，而不是只看构建服务器保存的另一份副本。文件内容或外层打包发生变化，都可能使两者不再相同。
可信时间戳能够提供签名发生时间的证据。在相应验证策略下，如果文件签名在签名证书有效期内完成，并具有有效可信时间戳，证书之后自然到期，历史签名仍可能继续通过验证。因此，不能只看当前证书日期就要求全部旧包重签。
但“加了时间戳就永远有效”也不准确。时间戳与签名链的可验证性、证书状态、安全算法及系统策略仍会影响结果。尤其涉及密钥事件或签名材料被判定有问题时，需要按实际情况复核。
没有有效时间戳的历史包，应在目标环境验证并评估重新发布需求。不能通过修改系统时间或人为回填一个签名时间，为旧签名补造可信证据。
公司更名后 先确定新的签名主体
证书中的发布者信息需要由CA 核实。法定名称变化、组织主体替换及集团内公司调整，可能需要补充审核或申请新证书，应向 CA 说明具体变更，而不是直接编辑证书文件。
新版本应使用与实际发布主体一致、符合要求的有效证书完成签名。旧版本可能仍显示当时经过验证的旧名称；这不必然是文件被篡改，而是历史签名保留了原身份。企业可以在下载页、版本说明或更名公告中解释名称关系。
如果希望重新签名历史安装包，需要评估该操作会改变什么。签名文件变化后，哈希、分发清单、升级器校验及下载信誉都可能需要重新验证。不要只替换下载文件，却继续展示旧哈希或让自动更新系统仍按旧文件校验。
对于有合规留档需求的旧包，应保留原件及其验证记录。重新发布可以创建明确的新制品，而不是无记录地覆盖历史档案，让以后无法说明客户当时下载的是哪份文件。
撤销与密钥泄露要单独处置
证书自然到期，与私钥泄露、滥用或其他原因导致撤销不同。发现未经授权的签名时，应立即联系CA，调查受影响文件并按要求处理证书状态，同时评估已分发版本。
此时不能仅凭存在时间戳就保证所有旧包仍可信。需要结合事件时间、撤销原因、签名内容及平台验证策略判断。若某个安装包已经遭到恶意修改，即使它显示着有效签名，也应作为安全事件处理，而不是继续分发。
GlobalSign EV 代码签名提供 Token 与 HSM 实现，私钥应在符合要求的硬件保护环境中生成和使用。设备或密钥材料发生异常时，也应检查签名授权与操作记录，不能把证书更新当成唯一补救。
给发布流程留下明确的版本边界
维护人员可以把历史包分成仍在支持、仅供归档和已停止分发几类，逐项记录验证状态和后续决定。对继续分发的包，应确认目标系统上的安装与升级路径，尤其是企业客户使用的应用控制规则。
新证书启用前，安排一份真实候选版本进行签名和验证，检查发布者名称、时间戳及最终制品。不要等旧证书到期当天才首次测试Token、HSM 或签名工具。
最终需要决定的不是“旧包一律重签还是一律不动”，而是每类文件是否仍符合支持与分发要求。证书续订、公司更名和历史版本管理各有自己的处理记录，分开推进会更清楚。
FAQ
Q1：EV代码签名证书过期，所有历史包都会立即失效吗？
A：不一定。存在可信时间戳且满足相应验证条件的历史签名，可能在签名证书自然到期后继续有效，应检查真实文件的验证结果。
Q2：公司更名后，旧安装包仍显示旧名称是否一定有问题？
A：不一定。历史签名保留的是当时核实的身份，应结合主体关系及当前分发要求处理。新版本应使用符合实际发布主体的证书，必要时向用户解释名称变化。
Q3：为什么不建议直接覆盖下载页中的旧包？
A：重签或重新打包可能改变哈希与制品信息，影响更新校验、分发缓存及留档。应按新制品管理并同步相关记录。
Q4：如果怀疑私钥泄露，还能按照普通到期办法处理吗？
A：不能。应联系CA并开展安全调查，评估撤销、文件影响及重新发布。存在时间戳不代表可以忽略密钥事件。
GlobalSign代码签名与版本维护
GlobalSign 提供 OV 与 EV 代码签名证书，并支持相应时间戳服务。企业在续订或主体信息变化时，可先向审核团队确认所需材料，再由发布团队验证新旧签名及实际安装包。Token 与 HSM 的选用和交接应与发布计划同步，避免取得证书后仍缺少可用签名环境。
资料来源
GlobalSign 代码签名证书
https://www.globalsign.cn/code-signing-certificate
GlobalSign 代码签名最佳实践
https://support.globalsign.com/code-signing/general-information/code-signing-best-practices