如何正确签名并部署VSTO Excel加载项？

签名后出现清单错误的常见遗漏点 #

• 签名顺序错误：必须先对所有程序集（DLL文件）签名，再更新应用程序清单（.manifest）的哈希值，最后对应用程序清单和VSTO文件签名。如果顺序颠倒，会导致清单里记录的文件哈希和实际签名后的文件不匹配，触发清单错误。
• 未更新清单哈希：用Mage签名时，没有重新生成并更新应用程序清单中每个文件的<hash>值。签名后的程序集文件内容变化，原有哈希失效，Excel会校验不通过。
• 证书不兼容：使用的代码签名证书不符合微软要求，比如用了自签名证书但未添加到信任根，或者证书用途不包含代码签名。

正确规避「未知发布者」警告的步骤 #

方法1：规范使用Mage工具完成签名与清单更新 #

1. 签名所有程序集
   使用sn.exe或Visual Studio的签名工具，给加载项的所有DLL文件签名：

   sn.exe -R "YourAddin.dll" "YourCodeSigningCert.pfx" -p "CertPassword"
   

2. 更新应用程序清单的哈希值
   用Mage工具重新生成并更新清单中的文件哈希，确保和签名后的文件一致：

   mage.exe -Update "YourAddin.manifest" -FromDirectory "YourAddinFilesFolder"
   

3. 签名应用程序清单

   mage.exe -Sign "YourAddin.manifest" -CertFile "YourCodeSigningCert.pfx" -Password "CertPassword"
   

4. 更新并签名VSTO文件
   VSTO文件是指向应用程序清单的引导文件，需要先更新再签名：

   mage.exe -Update "YourAddin.vsto" -AppManifest "YourAddin.manifest"
   mage.exe -Sign "YourAddin.vsto" -CertFile "YourCodeSigningCert.pfx" -Password "CertPassword"
   

5. 更新注册表中的Manifest路径
   确保注册表的Manifest值指向签名后的VSTO文件，同时如果使用非本地路径，注意URL格式正确。

方法2：将证书添加到本地信任区域（针对自签名证书测试场景） #

如果使用自签名证书测试，需要将证书导入到**本地计算机的「受信任的根证书颁发机构」**和「受信任的发布者」：

• 双击PFX证书文件，导入时选择「本地计算机」，将证书分别放置到上述两个存储区。
• 这样Excel会信任该证书签名的加载项，不再弹出未知发布者警告。

方法3：使用ClickOnce部署（推荐生产环境） #

Visual Studio的ClickOnce部署会自动处理签名、清单生成和信任提示：

• 在项目属性的「发布」选项卡中，配置代码签名证书，设置发布路径。
• 发布后用户安装时，只要证书被信任，就不会出现未知发布者警告，同时避免手动维护清单和注册表的麻烦。

额外注意事项 #

• 确保所有依赖文件（比如第三方DLL）也完成签名，否则清单校验仍会失败。
• 签名后的文件不要随意修改，任何内容变更都会导致哈希不匹配，需要重新执行签名流程。

内容的提问来源于stack exchange，提问作者SalmaBegum