使用Signtool签名WPF安装项目生成的setup.exe后，UAC弹窗仍显示发布者未知的原因及解决方法求助

我来帮你排查这个问题，这种情况我遇到过好几次，大概率是这几个原因之一：

1. 你可能签错了目标文件 #

WPF安装项目（比如Visual Studio自带的Installer Project模板）生成的setup.exe其实是引导程序，它负责启动背后的.msi安装包。如果你的PostBuildEvent只签名了.msi，或者签的是项目输出目录里的临时setup.exe，而非最终生成的那个成品文件，就会导致UAC弹窗显示“未知发布者”。

解决方法：

• 定位到安装项目最终输出的setup.exe路径，通常在安装项目的bin\Release（或Debug）目录下，确保Signtool命令指向这个准确路径。
• 检查PostBuildEvent的命令示例，确保路径和参数正确：

  signtool sign /f "C:\path\to\your\cert.pfx" /p "your-cert-password" /t http://timestamp.digicert.com "$(SolutionDir)YourSetupProject\bin\Release\setup.exe"
  

2. 签名证书不被系统信任 #

如果你的证书是自签名的，或者由Windows不信任的CA机构颁发，哪怕签名成功，UAC依然会识别为“未知发布者”——因为Windows只认可受信任根证书颁发机构颁发的代码签名证书。

解决方法：

• 若使用自签名证书，需手动将证书导入系统的「受信任的根证书颁发机构」和「受信任的发布者」存储区：
  1. 双击.pfx证书，导入时选择「本地计算机」存储位置；
  2. 按照向导步骤，将证书分别放入上述两个存储区。
• 生产环境建议购买正规CA（如DigiCert、GlobalSign）的代码签名证书，所有Windows系统会默认信任这类证书。

3. 签名过程存在隐性错误 #

可能你的Signtool命令缺少关键参数，或者签名后文件被意外覆盖：

• 缺少时间戳：没有添加时间戳的签名，在证书过期后会失效，部分系统也会不认可无时间戳的签名。必须通过/t参数指定时间戳服务器（比如示例中的http://timestamp.digicert.com）。
• 签名后文件被覆盖：安装项目的PostBuildEvent可能在签名完成后，又触发了重新生成操作，覆盖了已签名的setup.exe。可以尝试将签名逻辑放到安装项目的AfterBuild目标中，确保所有生成操作完成后再执行签名。
• 命令执行失败：打开Visual Studio的输出窗口，查看PostBuildEvent的执行日志，确认Signtool是否成功执行（比如有没有证书密码错误、文件找不到等报错）。

解决方法：

• 完善Signtool命令，确保包含时间戳参数，且文件路径准确；
• 检查输出日志，确认签名命令执行成功（成功时会显示Successfully signed: xxx\setup.exe）；
• 调整签名时机，避免签名后的文件被后续生成步骤覆盖。

4. Windows UAC缓存残留 #

有时候系统会缓存未签名版本的setup.exe信息，哪怕你重新签名，UAC还是会显示旧的“未知发布者”状态。

解决方法：

• 打开管理员权限的命令提示符，执行以下命令清除UAC缓存：

  rundll32.exe advapi32.dll,ProcessIdleTasks
  

• 若无效，直接重启电脑让系统彻底刷新缓存。

内容的提问来源于stack exchange，提问作者Krrish