安装自托管签名内部Chrome扩展时遇crx_required_proof_missing错误求助

问题背景 #

我正在为公司开发一款内部Chrome扩展，因是内部工具，不想发布到Chrome网上应用店，采用自托管方式，已完成以下操作：

• 前期准备：创建.pem签名文件（保证更新时扩展ID不变）
• 1. 构建源代码
• 2. 执行命令 chromium --pack-extension=./build_dir/ --pack-extension-key=./key.pem 打包并签名扩展
• 3. 更新update.xml文件匹配新版本号
• 4. 上传签名后的.crx文件和update.xml文件

当前遇到的问题：点击网站上的.crx链接可正常下载，Chrome能识别这是浏览器扩展，但安装时提示Package is invalid crx_required_proof_missing。

备注：已知可通过加载解压后的扩展文件安装，但不符合需求（部署流程复杂且无法自动更新）；.crx已配置正确响应头且可公开访问，update.xml文件配置正确且可访问；manifest文件已包含key和update_url属性。

不同场景测试结果：

• 开发者模式下拖入chrome://extensions：可安装，但出现红色警告“此扩展未在Chrome网上应用店列出，可能未经您知晓被添加”
• 非开发者模式下拖入chrome://extensions：无法安装，提示“Package is invalid crx_required_proof_missing”
• 开发者模式下的Chromium中拖入：可正常安装并运行

问题原因与解决方法 #

1. 报错本质 #

Chrome从版本73开始，对非Chrome网上应用店来源的扩展安装施加了严格限制。非开发者模式下，默认仅允许安装经过谷歌官方验证的扩展，crx_required_proof_missing报错的核心原因是你的扩展只有自签名的.pem文件，缺少谷歌提供的数字签名证明。

2. 可行解决方案 #

方案一：配置企业政策（推荐）

如果是公司内部设备，通过Chrome企业政策放行指定扩展是最合规且长期可行的方式：

• 在企业管理后台（或本地组策略编辑器），将你的扩展ID添加到ExtensionInstallAllowlist政策中
• 同时配置ExtensionInstallSources政策，允许你的自托管域名作为扩展来源
• 配置完成后，用户无需开启开发者模式，直接访问.crx链接或通过update_url自动更新均可正常安装

方案二：添加Chrome启动参数（适合测试/少量设备）

针对个人测试或少量内部设备，可通过修改Chrome启动参数跳过验证：

• 右键Chrome快捷方式，选择「属性」
• 在「目标」栏末尾添加参数： --allow-unverified-extensions（注意开头有空格）
• 注意：该参数会降低浏览器安全性，仅适合内部受控环境使用

方案三：统一部署Chromium浏览器

如测试结果所示，Chromium在开发者模式下可正常安装自托管扩展。若公司内部可统一使用Chromium：

• 为内部用户部署Chromium浏览器
• 引导用户首次安装时开启开发者模式
• 后续扩展可通过update.xml配置的update_url自动更新，无需重复操作

3. 额外检查项 #

• 确认.crx文件的HTTP响应头中Content-Type已设置为application/x-chrome-extension
• 确认update.xml中的版本号与manifest.json中的版本号完全一致
• 确认manifest.json中的key值是从.pem文件提取的公钥（可通过已安装扩展的chrome://extensions详情页复制，或用openssl rsa -in key.pem -pubout -outform DER | openssl base64 -A命令提取）

内容的提问来源于stack exchange，提问作者Louis Grasset