MAUI应用证书无效：如何获取可跨设备安装的有效证书？

一、公共CA代码签名证书（推荐生产环境） #

• 直接购买DigiCert、GlobalSign等主流公共CA签发的代码签名证书（别买成SSL证书），这类证书被Windows系统默认信任，目标设备无需手动安装证书，就能正常安装MSIX。

二、企业内部部署：企业CA证书 #

如果是企业内部多设备分发：

• 在域控制器上搭建AD CS（Active Directory证书服务），创建支持代码签名的证书模板。
• 用该企业CA签发的证书签名MSIX后，把企业CA的根证书导入所有目标设备的「受信任根证书颁发机构」存储区，所有设备就会信任这个CA签发的应用证书。

三、测试场景：自签名证书（需正确部署） #

如果只是测试用，自签名证书也能解决问题，但要严格按步骤来：

1. 生成自签名证书时，必须指定增强型密钥用法为代码签名，且证书的使用者信息要规范（比如包含组织名称）。
2. 目标设备上，除了把.cer安装到「当前用户/本地机器-受信任根证书颁发机构」，还要安装到「受信任的发布者」存储区。
3. 用PowerShell快速完成安装：

   # 导入证书到本地机器的根和发布者存储区
   Import-Certificate -FilePath "你的证书路径.cer" -CertStoreLocation Cert:\LocalMachine\Root
   Import-Certificate -FilePath "你的证书路径.cer" -CertStoreLocation Cert:\LocalMachine\TrustedPublisher
   

4. 确认证书未过期，且发布MSIX时用的是带私钥的证书（发布过程中要选中正确的证书条目）。

四、常见排查点 #

• 检查证书有效期：过期证书哪怕安装了也会验证失败。
• 确认证书增强型密钥用法：必须包含「代码签名」（OID 1.3.6.1.5.5.7.3.3），否则无法用于应用签名验证。
• 目标设备系统版本：MSIX要求Windows 10 1709及以上版本，旧版本可能不兼容。

内容的提问来源于stack exchange，提问作者Akrax