关于actions/runner-images项目中VC运行时安装签名验证失败问题的分析与解决

在Windows系统镜像构建过程中，开发人员经常会遇到Visual C++运行时组件(VC_redist.x64.exe)下载安装失败的问题。这个问题主要出现在使用actions/runner-images项目构建Windows Server 2019和2022镜像时。

问题现象

当构建流程执行到"Create VM image"步骤时，系统尝试从微软官方下载VC运行时安装包vc_redist.x64.exe，但在验证文件数字签名时失败。错误信息明确显示"Signature do not match expected"(签名与预期不匹配)，导致整个构建过程中断。

类似的问题也出现在其他微软开发工具如vs_Enterprise.exe的下载过程中，表明这可能是一个更广泛的签名验证机制问题。

问题根源

经过技术团队分析，这个问题源于以下几个方面：

1. 微软更新了其软件包的签名证书，导致新的签名与项目中硬编码的预期签名不匹配
2. 签名验证是安全机制的重要组成部分，用于确保下载的软件包未被篡改
3. 项目中的InstallHelpers.ps1脚本第1018行包含严格的签名验证逻辑

解决方案

技术团队已经通过代码提交修复了这个问题。解决方案包括：

1. 更新了预期的签名列表，以匹配微软最新的签名证书
2. 改进了签名验证机制，使其更具灵活性
3. 确保验证过程仍然保持安全性，同时兼容微软的签名更新

验证与使用

开发人员可以采取以下步骤验证问题是否已解决：

1. 拉取项目最新代码
2. 重新运行Windows镜像构建流程
3. 确认VC运行时组件能够正常下载和安装

对于遇到类似问题的其他微软工具安装，同样的修复原则也适用。技术团队建议定期检查并更新项目中的签名验证信息，以适应微软可能进行的证书轮换。

总结

数字签名验证是保障软件供应链安全的重要环节，但当预期签名与实际签名不匹配时，会导致构建失败。actions/runner-images项目团队通过及时更新签名信息，既维护了安全性，又确保了构建流程的顺畅。开发人员在遇到类似问题时，应关注官方更新，及时获取修复方案。