向WPF应用的MSIX安装程序添加通配符证书失败：签名无效错误

1. 证书未过期、密码正确仍报错的可能成因 #

• 证书增强密钥用法（EKU）不匹配：MSIX签名要求证书必须包含「代码签名」（OID: 1.3.6.1.5.5.7.3.3）或「应用包签名」（OID: 1.3.6.1.4.1.311.10.3.13）的EKU，若证书仅用于SSL/TLS等其他用途，会被签名工具拒绝。
• 私钥访问权限不足：证书的私钥未授予当前用户读取权限，导致签名工具无法调用私钥完成签名操作。
• 证书链不完整：根证书或中间证书未安装到本地「受信任根证书颁发机构」存储，系统无法验证证书的合法性。
• 自签名证书未被信任：自签名通配符证书默认不受系统信任，需手动将其导入受信任根存储。
• 证书私钥不可导出：证书导入时未勾选「允许私钥导出」，签名工具无法获取私钥进行签名。

2. WPF+MSIX使用通配符证书的要求与注意事项 #

• 证书EKU必须合规：通过certmgr.msc查看证书详细信息，确认包含代码签名或应用包签名的EKU。
• Publisher属性严格匹配：Package.appxmanifest中<Identity>节点的Publisher值必须与证书Subject中的CN字段完全一致（例如证书CN为*.contoso.com，Publisher需设为CN=*.contoso.com）。
• 证书格式要求：必须使用PKCS#12格式的证书文件（.pfx/.p12），且导入时需确保私钥可导出。
• 证书存储位置：建议将证书安装到「本地计算机」存储，而非「当前用户」存储，避免权限问题。
• 排查吊销状态：即使证书未过期，若已被颁发机构吊销，系统也会拒绝签名。

3. Package.appxmanifest的额外配置 #

无需额外添加XML节点，但需重点确认：

• <Identity>节点的Publisher属性与证书Subject的CN值完全匹配，包括大小写、CN=前缀等格式细节。
• 不要手动修改Signature节点内容，签名工具会自动填充正确的签名信息。

补充排障步骤 #

• 用signtool手动测试签名，执行命令：

  signtool sign /f "你的证书路径.pfx" /p "证书密码" "你的MSIX包路径.msix"
  

  该命令会返回更详细的错误信息，帮助精准定位问题。
• 打开证书属性，切换到「证书路径」标签，检查所有层级的证书是否都显示「此证书已正常」。
• 右键证书→「所有任务」→「管理私钥」，确保当前用户拥有「读取」权限。

内容的提问来源于stack exchange，提问作者Dragon Slayer