数字签名VBA代码信任链未按预期生效问题咨询（自签证书场景）

嘿，这个问题其实踩中了Excel VBA签名信任机制的一个特殊点——和我们常规理解的证书信任链逻辑不太一样，我来给你拆解清楚：

首先，你得明白Excel信任中心的「受信任发布者」列表的工作规则：它是直接存储具体的签名证书，并不会自动去验证这个签名证书的签发机构是否在受信任列表里。也就是说，哪怕你把签发MyCodeSign的根CA（MyRootCA）加到了Excel的「受信任发布者」，Excel也不会顺着信任链去认可MyCodeSign，它只会认MyCodeSign本身是否在这个列表里——这就是为什么你只有把MyCodeSign加进去才生效的原因。

那如果想实现“信任根CA就自动信任所有它签发的代码签名证书”该怎么做？这时候得用Windows系统级的证书信任机制：你需要把MyRootCA安装到**Windows系统的「受信任的根证书颁发机构」**存储中（而不是Excel的信任中心）。当Excel验证VBA签名时，会调用系统的证书链验证逻辑，这样只要MyCodeSign是由系统信任的根CA签发的，Excel就会认可它的签名。

最后给你总结两种可行方案：

• 方案一（你已经验证有效的）：直接把MyCodeSign添加到Excel信任中心的「受信任发布者」列表；
• 方案二（实现信任链自动信任）：将MyRootCA安装到Windows系统的「受信任的根证书颁发机构」，之后所有由它签发的代码签名证书都会被Excel认可。

内容的提问来源于stack exchange，提问作者Pᴇʜ