使用ClickOnce部署WPF应用时遭遇哈希不匹配错误求助

问题核心分析 #

出现The calculated hash for the file App.deps.json is different from the one specified in the manifest错误，本质是ClickOnce清单记录的文件哈希和实际部署文件的哈希不一致，大概率是发布阶段签名流程遗漏、发布后文件被篡改（比如DevOps流水线的额外处理），或是签名工具执行出错导致的。

具体修复步骤 #

1. 排查文件是否被篡改 #

• 本地发布完成后，直接对比Application Files下App.deps.json的实际哈希，和对应版本文件夹内.manifest文件中<file name="App.deps.json">节点的hash值：
  • 如果本地就不匹配，说明Visual Studio发布时的签名流程有问题；
  • 如果本地匹配，那就是DevOps流水线部署时修改了文件，比如启用了自动压缩、换行符转换等操作，需要在流水线里禁用这类对发布文件的修改动作，保持文件原始状态。

2. 修正Visual Studio发布签名配置 #

• 打开项目的发布设置，切换到签名选项卡：
  • 确保勾选「对ClickOnce清单签名」，并选中正确的临时cert.pfx证书；
  • 额外勾选「对程序集签名」，选择同一证书，保证所有输出文件（包括App.deps.json这类依赖文件）都能被签名；
  • 发布前再次核对安装URL和发布路径，避免路径错误导致文件复制不全。

3. 用Mage工具手动重新签名（修复现有发布文件） #

如果本地发布后部分文件未签名，可通过Mage工具手动重新生成并签名清单：

• 打开Visual Studio开发者命令提示符（以管理员身份运行），定位到发布后的Application Files\YourApp_xxx版本文件夹；
• 删除现有.manifest文件，执行命令重新生成应用清单：

  mage -New Application -ToFile YourApp.exe.manifest -Name "你的应用名称" -Version x.x.x.x -FromDirectory . -IconFile YourApp.exe
  

• 用证书签名新清单：

  mage -Sign YourApp.exe.manifest -CertFile "你的cert.pfx文件路径" -Password "证书密码"
  

• 回到发布根目录，更新并签名App.application：

  mage -Update App.application -AppManifest "Application Files\YourApp_xxx\YourApp.exe.manifest"
  mage -Sign App.application -CertFile "你的cert.pfx文件路径" -Password "证书密码"
  

• 若需要，重新生成Setup.exe：

  mage -New Setup -ToFile Setup.exe -AppManifest App.application -Name "你的应用安装程序" -Version x.x.x.x
  

4. 彻底清理后重新发布 #

• 删除项目下的bin、obj文件夹，以及发布路径下的所有旧文件（Application Files、App.application、Setup.exe等）；
• 重启Visual Studio，执行清理解决方案→重新生成→发布的完整流程，确保过程无中断或警告。

5. 验证测试证书有效性 #

• 检查临时cert.pfx是否过期，发布时输入的密码是否正确；若证书有问题，直接在Visual Studio签名选项卡点击「创建测试证书」，重新生成带密码的临时证书后再发布。

内容的提问来源于stack exchange，提问作者Jacopo