已签名.NET应用的证书过期后是否仍可正常安装？

绝大多数情况下用户可以正常安装这款XYZCalc应用，仅极少数安全策略配置极端严格的设备会被拦截，核心逻辑如下：

• 影响签名有效性的核心是签名时是否附加了可信时间戳：正规商业代码签名流程几乎都会默认启用时间戳服务，只要签名行为发生在证书的2年有效期内，可信时间戳会永久证明该签名的合法性，不会因为后续证书过期就判定签名无效，这类场景下安装包的签名始终被系统认可，不会触发任何证书相关的拦截。
• 只有签名时未附加时间戳的极端特殊情况，才会在证书过期后被系统判定签名无效：这种情况最多只会弹出「未知发布者」的安全警告，用户手动确认跳过警告后依然可以完成安装，只有设备提前配置了「仅允许安装带有效数字签名的应用」的组策略时，才会完全阻止安装。
• EXE和MSI格式的安装包签名校验逻辑完全一致，不会因为格式差异出现额外的拦截规则。

补充说明：只有证书被CA机构吊销（而非正常过期）的场景，才会出现全场景的签名无效强制拦截，本场景中仅为证书正常过期，不存在吊销风险，因此不会触发这类拦截。

内容的提问来源于stack exchange，提问作者Kerry Thomas