clickonce发布winform程序在用户账户控制（域CNGTI）打开提示：你要允许来自未知发布者的此应用对你的设备进行更改么？-CSDN博客

本文链接：https://blog.csdn.net/nbspzs/article/details/149964308

你的问题涉及到使用 ClickOnce 发布 WinForms 程序时，在启用用户账户控制（UAC）的情况下，出现“未知发布者”提示的问题。这种情况通常与代码签名和证书信任有关。以下是问题的原因分析以及解决方法：

问题原因

未正确签名 ClickOnce 应用程序：
- ClickOnce 应用程序需要使用有效的代码签名证书（Authenticode 证书）对应用程序和部署清单（.application 和 .manifest 文件）进行签名。如果没有签名或签名无效，Windows 会显示“未知发布者”提示。
- 如果证书未正确配置或已过期，也会导致此问题。
证书未受信任：
- 即使签名了应用程序，如果签名的证书未被客户端计算机信任（即未在“受信任的发布者”或“受信任的根证书颁发机构”存储中），Windows 仍会显示“未知发布者”。
- 在域环境中，证书可能需要由域管理员配置到客户端的证书存储中。
UAC 设置：
- 用户账户控制（UAC）在域环境中（如 CNGTI 域）开启时，会对未受信任的应用程序或未正确签名的应用程序发出警告，要求用户确认是否允许更改。
Setup.exe 未签名：
- ClickOnce 部署的 Setup.exe 文件（引导程序）也需要单独签名。如果未签名或签名与清单不一致，会触发 UAC 提示。
证书链问题：
- 如果证书的颁发机构（CA）未在客户端的“受信任的根证书颁发机构”存储中，或者证书被吊销（CRL 检查失败），也会导致“未知发布者”提示。

解决方法

以下是逐步解决“未知发布者”提示的方法：

1. 使用有效证书签名 ClickOnce 应用程序

获取有效的代码签名证书：
- 从受信任的证书颁发机构（如 DigiCert、Sectigo、GlobalSign 等）购买一个代码签名证书。确保证书是 Authenticode 类型的，支持 ClickOnce 签名。
- 避免使用自签名证书（如通过 MakeCert.exe 或 New-SelfSignedCertificate 生成的证书），因为它们在域环境中通常不受信任。
在 Visual Studio 中配置签名：
- 打开项目属性，在“签名”选项卡中启用“签名 ClickOnce 清单”。
- 选择你的代码签名证书（通常以 .pfx 文件形式导入到证书存储中）。
- 确保“发布”选项卡中的“发布者名称”与证书中的发布者名称一致。
签名 Setup.exe：
- 默认情况下，ClickOnce 会签名 .application 和 .manifest 文件，但 Setup.exe 需要单独签名。
- 使用 SignTool.exe（Windows SDK 的一部分）对 Setup.exe 进行签名。例如：
```
signtool.exe sign /a /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 "path\to\Setup.exe"
```
  - /a：自动选择最佳签名证书。
  - /fd SHA256：使用 SHA256 算法。
  - /tr：指定时间戳服务器（如 DigiCert 的时间戳服务器）。
  - /td SHA256：时间戳的哈希算法。

2. 确保证书受客户端信任

将证书添加到受信任的发布者存储：
- 在客户端计算机上，将你的代码签名证书的公钥添加到“受信任的发布者”证书存储中。可以使用 CertMgr.exe 工具：
```
certmgr.exe -add certificate.cer -c -s -r localMachine TrustedPublisher
```
  - certificate.cer 是你的证书文件（Base64 格式）。
  - -r localMachine 表示将证书添加到本地计算机存储（需要管理员权限）。
确保根证书受信任：
- 确保颁发你代码签名证书的根证书在客户端的“受信任的根证书颁发机构”存储中。如果证书链中的根 CA 未受信任，需手动导入根证书：
```
certmgr.exe -add rootcertificate.cer -c -s -r localMachine Root
```
在域环境中配置：
- 如果你的客户端在域（CNGTI）中，建议通过组策略（Group Policy）将证书分发到所有客户端：
  1. 打开组策略管理编辑器（gpedit.msc 或域控制器上的 GPMC）。
  2. 导航到 计算机配置 > 策略 > Windows 设置 > 安全设置 > 公钥策略。
  3. 在“受信任的发布者”和“受信任的根证书颁发机构”中导入你的证书。

3. 检查证书有效性

验证证书是否被吊销：
- 使用 certutil 检查证书状态：
```
certutil -verify -urlfetch certificate.cer
```
  - 如果证书被吊销（CRL 问题），联系证书颁发机构解决。
  - 确保客户端可以访问证书吊销列表（CRL）或在线证书状态协议（OCSP）服务。
使用正确的签名算法：
- 确保使用 SHA256 或更高版本的签名算法，因为 SHA1 已被弃用，可能导致信任问题。
- 如果使用旧版 Visual Studio（如 2019 之前），可能默认使用 SHA1 签名。升级到 Visual Studio 2022 或手动指定 SHA256。

4. 修改 ClickOnce 部署设置

检查 MIME 类型：
- 如果 ClickOnce 应用程序通过 Web 服务器部署，确保服务器正确配置了 ClickOnce 文件的 MIME 类型：
  - .application：application/x-ms-application
  - .manifest：application/x-ms-manifest
  - .deploy：application/octet-stream
- 错误配置的 MIME 类型可能导致部署问题，间接影响签名验证。
禁用 UAC 提示（仅测试用途）：
- 在开发或测试环境中，可以临时降低 UAC 设置以验证问题是否由签名引起：
  1. 打开“控制面板 > 用户账户 > 更改用户账户控制设置”。
  2. 将滑块移到最低（不推荐用于生产环境）。
- 注意：这不是长期解决方案，仅用于排除故障。

5. 高级解决方案

使用 Mage.exe 手动签名：
- 如果 Visual Studio 的签名过程失败，可以使用 Mage.exe（Manifest Generation and Editing Tool）手动签名 .application 和 .manifest 文件：
```
mage.exe -Sign "path\to\App.exe.manifest" -CertFile "certificate.pfx" -Password "yourpassword"
mage.exe -Sign "path\to\App.application" -CertFile "certificate.pfx" -Password "yourpassword"
```
- 然后使用 SignTool.exe 签名 Setup.exe。

自动化签名过程：

在项目文件中添加后编译步骤，自动调用 SignTool.exe：

<Target Name="AfterCompile">
  <Exec Command="SignTool.exe sign /a /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 &quot;$(ProjectDir)obj\$(ConfigurationName)\$(TargetFileName)&quot;" />
</Target>

将此 XML 添加到 .csproj 文件的 </Project> 标签前。

使用双重签名（SHA1 和 SHA256）：
- 某些旧版 Windows 系统可能需要 SHA1 签名以兼容 ClickOnce 清单，而 Setup.exe 使用 SHA256 签名。可以使用 PowerShell 脚本（如 SignClickOnceApp.ps1）实现双重签名。

6. 测试和验证

在测试环境中验证：
- 在一台干净的客户端计算机上测试部署，确保没有预先安装的证书。
- 检查是否仍然显示“未知发布者”提示。

检查签名状态：

使用 signtool verify 检查文件是否正确签名：

signtool.exe verify /pa "path\to\Setup.exe"
signtool.exe verify /pa "path\to\App.exe"

7. 域环境特定建议

与域管理员协作：
- 在 CNGTI 域中，可能需要域管理员通过组策略分发证书或调整 UAC 设置。
- 确保域中所有客户端的证书存储已正确配置。
检查防火墙和 CRL 访问：
- 确保客户端可以访问证书颁发机构的 CRL 或 OCSP 服务。如果域网络限制了外部访问，可能导致证书验证失败。

示例工作流程

获取证书：
- 从 DigiCert 购买 SHA256 代码签名证书，导出为 .pfx 文件。
配置 Visual Studio：
- 在项目属性中选择 .pfx 文件，启用“签名 ClickOnce 清单”。
发布应用程序：
- 使用“发布向导”发布到目标位置（文件共享或 Web 服务器）。
签名 Setup.exe：
- 使用 SignTool.exe 签名 Setup.exe。
分发证书：
- 通过组策略将证书公钥添加到客户端的“受信任的发布者”和“受信任的根证书颁发机构”存储。
测试部署：
- 在域内客户端上运行 Setup.exe，确认不再显示“未知发布者”提示。

常见问题

Q：证书有效，但仍显示“未知发布者”？
- A：检查 Setup.exe 是否单独签名，确认证书是否在客户端的“受信任的发布者”存储中。
Q：域环境如何批量配置证书？
- A：使用组策略分发证书，或通过脚本（如 PowerShell）批量导入。
Q：是否可以完全避免 UAC 提示？
- A：如果证书受信任且应用程序不要求管理员权限，ClickOnce 应用程序可以以低权限运行，避免 UAC 提示。