来自GlobalSign：代码签名常见问题解答：

如果网站的 SSL 证书包含服务器身份验证的扩展密钥用法，表明它可用于识别服务器，则代码签名证书具有代码签名的扩展密钥用法，表明它可用于签署代码。

因此，对于代码签名，您需要扩展代码签名的密钥用法，而对于 Web 服务器，则需要使用服务器身份验证的密钥。对于证书签名，基本约束需要允许将证书用作 CA。通过创建在这些设置中不同的证书并将这些设置标记为关键，以便它们不会被忽略，您可以获得适当的限制。