对于Windows驱动程序开发者而言，WHQL认证是产品走向市场的关键一步。通过WHQL（Windows Hardware Quality Labs）认证的驱动，不仅能获得系统原生信任、避免被安全机制拦截，还能通过Windows Update分发给海量用户。而实现WHQL认证的核心前提，正是合规的代码签名。本文将围绕“如何用代码签名实现WHQL认证”这一主题，从证书选型到最终获取微软官方签名，提供完整的操作指南。

一、WHQL认证为什么离不开代码签名？

很多开发者误以为EV代码签名就是WHQL认证本身，其实两者是“前置条件+认证流程”的关系。代码签名解决的是“谁发布的、代码是否被篡改”的身份可信问题，而WHQL认证解决的是“驱动能否在Windows上稳定运行”的兼容性问题。

自2021年起，微软已明确规定，所有提交WHQL认证的驱动程序必须使用EV（扩展验证）代码签名证书进行签名，普通OV代码签名证书已不被微软硬件开发者中心接受。没有合规的EV代码签名，连WHQL的提交入口都无法进入。

EV代码签名在WHQL认证中承担两个关键作用：一是在注册微软硬件开发者中心账户时，需要用EV证书对微软提供的注册文件进行签名，完成企业身份核验；二是在提交驱动前，需要用EV证书对驱动包和测试日志进行预签名，微软才会接收并进入测试流程。

二、第一步：申请合规的EV代码签名证书

申请EV代码签名证书是整条路径的起点，也是决定成败的关键环节。证书选择不当，后续所有工作都将无法推进。

证书类型要求：必须选择微软认可的权威CA机构（如GlobalSign、DigiCert等）签发的EV代码签名证书。证书需支持SHA-256哈希算法，具备代码签名专用扩展（EKU：1.3.6.1.5.5.7.3.3）。

申请材料准备：EV证书的申请审核极为严格，企业需准备加盖公章的营业执照副本、法人身份证正反面、经办人授权委托书及身份证、办公地址水电费发票、企业固定电话及官方邮箱等材料。所有材料信息必须保持一致，杜绝“企业名称简称”“地址模糊”等问题。

私钥存储方式：EV证书的私钥必须存储在硬件加密令牌（如USB Token/UKey）中，不可导出、不可复制。这是微软的强制要求，也是保障认证安全性的核心措施。

整个申请流程通常需要3至5个工作日，CA机构完成企业身份核验后下发证书及配套硬件令牌。

三、第二步：注册微软硬件开发者中心账户

拿到EV代码签名证书后，下一步是注册微软硬件开发者中心（Hardware Dev Center）账户，这是提交WHQL认证的唯一官方入口。

账户类型要求：注册时需使用Microsoft Entra ID（原Azure AD）的全局管理员账户。该账户是登录管理平台、提交测试报告、管理整个认证流程的唯一入口，且必须与EV证书绑定，形成“证书+账户”的双重安全验证。

账户注册操作：登录微软硬件开发者中心后，下载微软提供的注册签名文件，使用EV代码签名证书对该文件进行签名，然后上传完成账户认证。普通个人账户或未绑定EV证书的账户无法完成注册。

四、第三步：使用SignTool对驱动程序进行预签名

账户注册完成后，需要对驱动程序包进行预签名，这是提交WHQL认证前的关键操作。

驱动包准备：驱动程序包通常包含.sys（驱动程序核心文件）、.inf（安装信息文件）和.cat（目录文件）等。确保所有文件编译无误、符合Windows驱动规范。

签名工具与命令：微软官方推荐的签名工具是SignTool.exe，包含在Windows SDK中。典型签名命令如下：

signtool sign /f 证书文件.pfx /p 密码 /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 驱动文件.sys

参数说明：/f指定EV证书文件，/p指定证书密码，/fd指定SHA-256哈希算法，/tr和/td指定RFC3161时间戳服务器。

时间戳的重要性：签名时必须添加权威时间戳。时间戳可以确保即使证书过期后，签名仍然有效，这对驱动的长期分发至关重要。

签名验证：签名完成后，使用以下命令验证签名有效性：

signtool verify /v /pa 驱动文件.sys

输出“签名有效”“时间戳有效”“交叉证书验证通过”即表示签名合规。

五、第四步：HLK兼容性测试与报告签名

预签名完成后，进入WHQL认证的核心测试环节——HLK（Hardware Lab Kit）测试。

测试环境搭建：安装Windows驱动程序工具包（WDK）和HLK测试工具。HLK测试需在实体机上运行（非虚拟机），覆盖目标Windows版本的兼容性验证。

测试执行：HLK测试涵盖功能、稳定性、电源管理、PnP即插即用、安全防护等多个维度。测试范围根据驱动类型和适配的Windows版本而定。

测试报告签名：测试完成后生成的.hlkx测试报告文件，同样需要使用EV代码签名证书进行签名。签名后的测试报告才能提交至微软审核。

六、第五步：提交审核与获取微软官方签名

所有准备工作完成后，即可正式提交WHQL认证申请。

提交操作：登录微软硬件开发者中心，创建新的硬件提交，选择“驱动程序”类型，填写产品名称、硬件ID等信息。上传已签名的驱动包（含.sys、.inf、.cat文件）和已签名的HLK测试报告。

审核周期：微软接收提交后，进行兼容性测试与签名验证。普通驱动审核周期通常为3至5个工作日，复杂硬件驱动可能需要7至10个工作日。使用EV代码签名证书的申请可进入优先审核通道，审核效率显著提升。

获取签名：测试通过后，微软颁发WHQL数字签名，驱动程序被列入Windows硬件兼容列表（HCL）。企业可从开发者中心下载已签名的驱动包，正式用于分发和商业发布。通过认证的驱动还可勾选“Windows Update分发”，实现自动推送。

七、常见误区与注意事项

在实际操作中，不少厂商容易陷入以下误区：

误区一：认为普通代码签名证书即可满足WHQL要求。微软已明确禁止使用普通OV证书提交WHQL认证，只有EV证书才符合要求。

误区二：将EV代码签名等同于WHQL认证。两者是互补关系，EV签名是前提，WHQL是结果，缺一不可。

误区三：忽略时间戳的添加。未加时间戳的签名在证书过期后将失效，影响驱动的长期可用性。

注意事项：硬件令牌需专人保管，启用PIN码保护；证书有效期通常为460天，需提前30天申请续期；签名后的代码不可再修改，否则签名失效需重新操作。

通过以上七个步骤，从EV代码签名证书的申请到最终获取微软WHQL官方签名，开发者可以系统性地完成整个认证流程。合规的代码签名不仅是WHQL认证的入场券，更是驱动产品在Windows生态中顺畅运行的基本保障。