ClickOnce更新证书后点击appref-ms/部署清单首次弹出安装弹窗问题

一、弹窗出现却仅打开应用的原因 #

这是新旧签名身份不匹配触发的信任确认流程：

• 原应用用SHA1证书签名，系统已将该发布者身份标记为信任；更换EV SHA384证书+SHA256签名后，新的部署/应用清单的签名身份（公钥哈希、签名算法）与本地已记录的旧身份无法匹配。
• 虽然你已完成文件更新，appref-ms也指向了新公钥，但ClickOnce本地缓存的信任记录未同步，首次触发时会弹出「安装」弹窗让你确认信任新身份，点击后仅更新本地信任记录，无实际文件需要安装，因此直接打开已更新的应用。

二、ClickOnce触发弹窗的检测逻辑 #

点击appref-ms或.application部署清单时，ClickOnce会按以下流程处理：

• 解析目标文件，提取应用名称、发布者、公钥哈希、签名算法、版本号及实际存储路径等关键信息。
• 比对本地ClickOnce缓存（路径为%USERPROFILE%\AppData\Local\Apps\2.0）中的应用记录，重点检查：
  • 应用身份标识（发布者+应用名称+公钥哈希）是否匹配
  • 清单签名是否合法、证书是否在系统信任列表内
  • 本地已安装版本与清单标注版本是否一致
• 若发现身份不匹配（如证书/签名算法变更）、或本地无对应信任记录，就会弹出安装弹窗，请求用户确认信任新的发布者身份。
• 用户点击「安装」后，ClickOnce仅更新本地信任记录与缓存中的身份信息，因应用文件已完成更新，无需再下载安装，直接启动应用。

三、注册表在这个过程中的作用 #

ClickOnce会读取部分注册表项，但仅作为辅助配置，核心校验仍依赖本地缓存：

• 信任策略相关：HKCU\Software\Classes\CLSID\{7A9D77BD-5403-11D2-8785-00A0C9B4D50C}\Settings 存储ClickOnce全局信任设置，比如是否允许运行来自特定发布者的应用。
• 卸载记录：HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall 下的ClickOnce应用条目，仅记录卸载相关信息，不参与启动时的核心校验依据。
• 应用关联：注册表会记录appref-ms和.application文件的打开方式，但不参与身份校验的核心逻辑。

内容的提问来源于stack exchange，提问作者Rakesh Kumar