能否使用USB令牌对Visual Studio ClickOnce应用进行代码签名并发布？

完全可以在Visual Studio的ClickOnce发布工作流中用USB令牌代替.pfx文件，不需要切换到SignTool，不少开发者已经实现了这套方案。

具体配置步骤 #

• 插入USB令牌后，确认对应的代码签名证书已加载到本地「个人」证书存储区（多数令牌会自动完成这一步，少数可能需要安装厂商驱动）
• 打开项目属性的「发布」选项卡，点击「签名」按钮
• 在「为ClickOnce清单签名」区域，取消勾选「从文件选择证书」，选择「从存储区选择」
• 在弹出的证书列表里找到USB令牌对应的代码签名证书（必须保持令牌插入状态才能看到）
• 确认选择后，后续的ClickOnce发布流程会自动调用USB令牌完成签名，完全沿用原有工作流的自动化特性，不需要额外操作

关键注意事项 #

• 令牌选型：优先选支持Windows证书存储集成的主流品牌（比如SafeNet、YubiKey的代码签名型号），避免选仅支持私有驱动的小众产品，否则可能无法被VS识别
• 自动化发布适配：如果用CI/CD流水线自动化发布，要在构建机器上安装令牌厂商的驱动工具，并且确保运行构建的账号有访问证书的权限，避免出现权限不足导致签名失败的情况
• 成本与安全平衡：USB令牌确实比pfx文件贵，但它能避免pfx文件泄露带来的签名伪造风险，适合对代码签名安全要求高的长期场景

内容的提问来源于stack exchange，提问作者Intensivist