检查程序集的身份？可能是因为它的名字很响亮？

Question

在我的一个应用程序中，我必须将我自己包含的插件与其他人的插件区分开来。
它们各自使用不同的密钥进行签名，主机应用程序也是如此。

有什么方法可以区分我的程序集和其他人的程序集吗？ （可能需要签名密钥的帮助）

Answer 1

您可以根据容器程序集中存储的列表检查加载的程序集公钥令牌。

http://blogs.msdn.com/b/miah/archive/2008/02/19/visual-studio-tip-get-public-key-token-for-a-stong-named- assembly.aspx

或者只是简单地存储程序集的全名，如下所示：

var assembly = typeof (string).Assembly;

var myAssemblies = new HashSet<string>
{
 "mscorlib, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"
};

Assert.IsTrue(myAssemblies.Contains(assembly.FullName));

您还可以使用 GetPublicKeyToken 和 BitConverter 检查令牌

var assembly = typeof(string).Assembly;

var token = BitConverter.ToString(assembly.GetName().GetPublicKeyToken()).Replace("-","").ToLowerInvariant();

var expectedToken = "b77a5c561934e089";

Assert.AreEqual(expectedToken, token);

Answer 2

如果您的所有程序集都已签名，您可以使用 GetPublicKey() 或 GetPublicKeyToken()，

 Assembly a =...
 a.GetName().GetPublicKeyToken();

 Assembly a =...
 a.GetName().GetPublicKey();

这比保留 GUID 列表更方便，并且也适用于将来的程序集。

Answer 3

您可以通过检查强名称签名来完成此操作。请参阅检查有效的强名称签名了解如何执行此操作。请注意，本文提到将 P/invoke 与 StrongNameSignatureVerificationEx 结合使用，但如果您使用的是 .NET 4.0 或更高版本，则应替换 ICLRStrongName:: StrongNameSignatureVerificationEx。

请参阅公钥和公钥令牌了解公钥令牌的实际含义。鉴于它只是公钥的哈希值，因此很容易复制或提取，然后注入到不受信任的程序集中，因此它不是用于验证程序集的安全机制。

Answer 4

一个不错的片段：

// Assembly is a System.Reflection.Assembly
public string GetAssemblyGUID(Assembly assembly)
{
    object[] objects = assembly.GetCustomAttributes(typeof(System.Runtime.InteropServices.GuidAttribute), false);
    if (objects.Length > 0)
        return ((System.Runtime.InteropServices.GuidAttribute)objects[0]).Value;
    else
        return null;
}

这将检索指定程序集的 GUID。您可以在项目属性中设置程序集的 GUID。对于类库和 PE 来说也是如此。