VS2022使用2023年6月后USB令牌签名ClickOnce清单报错求助

可能的原因 #

• 证书兼容性限制：2023年6月后颁发的代码签名证书多遵循CA/B论坛新规，默认采用SHA-256+哈希算法，而Visual Studio的ClickOnce签名筛选器可能对证书的增强型密钥用法（EKU）有严格校验，若证书未正确包含「代码签名」EKU，或VS未识别到该属性，就会触发匹配失败。
• USB令牌读取问题：硬件令牌的证书存储在加密容器中，VS的「Select from Store」功能可能未正确调用令牌驱动，无法读取完整的证书元数据（如有效期、EKU），导致筛选条件不匹配。
• ClickOnce签名的特殊校验逻辑：ClickOnce清单签名对证书的属性要求比普通代码签名更严格，VS内部的筛选逻辑可能遗漏了部分硬件令牌证书的有效属性。

可行的解决办法及替代流程 #

1. 调整VS证书筛选规则 #

在VS的证书选择弹窗中，点击「More Choices」，取消勾选「Show only certificates that are valid for the selected purpose」，此时会列出系统存储中的所有证书，手动选择你的代码签名证书后尝试发布。

2. 手动导出证书（若令牌允许） #

如果你的USB令牌支持导出带私钥的PFX文件：

• 打开证书管理器（certmgr.msc），找到令牌中的证书，右键选择「所有任务」→「导出」，按向导导出PFX文件（需输入令牌保护密码）。
• 在VS发布设置中，选择「Select from File」，导入导出的PFX文件并输入密码，再尝试签名。

3. 用SignTool手动签名（替代VS自动签名） #

这是最可靠的替代方案，步骤如下：

• 在VS发布设置中取消勾选「Sign the ClickOnce Manifest」，正常生成未签名的发布包。
• 定位到发布包目录（通常是项目目录\bin\Release\app.publish），找到需要签名的*.manifest和*.application文件。
• 根据证书类型执行SignTool命令：
  • 若使用PFX证书：

    signtool sign /f "你的PFX文件路径" /p "PFX密码" /t "https://timestamp.digicert.com" /v "清单文件路径"
    

  • 若直接使用USB令牌（无需导出）：

    signtool sign /sm /n "证书的主题名称" /t "https://timestamp.digicert.com" /v "清单文件路径"
    

• 签名完成后，即可直接部署已签名的发布包。

4. 更新Visual Studio到最新版本 #

微软后续更新可能修复了新代码签名证书的兼容性问题，打开VS的「工具」→「获取工具和功能」，安装最新的累积更新后重试。

5. 校验证书EKU属性 #

打开certmgr.msc，找到令牌中的证书，查看「详细信息」选项卡下的「增强型密钥用法」，确认包含「代码签名」（OID: 1.3.6.1.5.5.7.3.3）。若缺失，联系证书颁发机构重新签发符合要求的证书。

内容的提问来源于stack exchange，提问作者Andy