WinForms 学习笔记（七）：部署——ClickOnce、单文件发布与自动更新

写在前面

承接篇6。本篇讲 WinForms 应用怎么打包交付给用户：单文件发布、ClickOnce、自动更新、签名。

WinForms 部署比 Web 复杂：你要把 exe + 依赖装到用户机器、管更新、过 SmartScreen。.NET 8 时代，单文件发布 + ClickOnce 是主力，MSIX 是新选择。

一、dotnet publish：单文件发布

.NET SDK 的 dotnet publish 把应用打包成可分发的产物。最实用的是单文件（self-contained exe，用户机器不用装 .NET）：

1
2
3
dotnet publish -c Release -r win-x64 --self-contained true \
  -p:PublishSingleFile=true \
  -p:IncludeNativeLibrariesForSelfExtract=true

参数：

参数	含义
`-c Release`	Release 编译
`-r win-x64`	目标运行时（Windows 常用 RID 有 `win-x64`、`win-x86`、`win-arm64`）
`--self-contained true`	自包含（带 .NET 运行时，用户免装）
`PublishSingleFile`	打成单个 exe
`IncludeNativeLibrariesForSelfExtract`	原生库也塞进单文件

1
2
3
产物：bin/Release/net8.0-windows/win-x64/publish/MyApp.exe
  → 主要托管程序集可打包到一个 exe，双击即跑
  → 拷给用户、放共享盘、U 盘分发都行

自包含发布会带上 .NET 运行时，通常明显大于框架依赖发布；实际体积受 .NET 版本、RID、依赖、原生库和 ReadyToRun 等选项影响，应以项目实测为准。改用 --self-contained false 可减小发布产物，但目标机必须安装匹配的 .NET Desktop Runtime。单文件中的托管程序集通常直接加载；原生库是否打入并自解压取决于发布属性，PDB 默认也不包含在单文件中。

二、ReadyToRun / Trim

ReadyToRun（R2R）：预编译成原生机器码，启动更快，体积大些：

1
2
dotnet publish -c Release -r win-x64 --self-contained true \
  -p:PublishSingleFile=true -p:PublishReadyToRun=true

1
2
3
4
ReadyToRun：
  预编译部分方法，可减少启动阶段的 JIT 工作
  代价是发布产物变大，且收益因项目而异
  → 先测量启动时间和体积，再决定是否开启

Trim（裁剪）：移除没用到的代码，减小体积。WinForms 对 Trim 支持差（大量反射 + 设计器），别开：

1
2
# WinForms 别开 Trim（会运行时缺类型崩）
-p:PublishTrimmed=true   # ✗ WinForms 不推荐

WinForms 框架本身并不适合直接按 Native AOT 应用发布；反射、动态代码和部分组件也会带来额外限制。MAUI 和 WinUI 不是 WinForms Native AOT 的直接替代方案，不应仅为了 AOT 就迁移 UI 框架。如果原生编译是硬性需求，需按目标框架的官方兼容性说明单独评估和验证。

三、ClickOnce：老牌自动更新

ClickOnce（.NET Framework 2.0 起）是 WinForms/WPF 的"零摩擦安装 + 自动更新"方案：用户点网页链接 → 装到用户目录（不需管理员）→ 每次启动检查更新。

.NET 8 下 ClickOnce 仍支持（VS 项目属性 → Publish，或 publish 配置），流程：

1
2
3
4
1. dotnet publish 生成 ClickOnce 清单（.application / .manifest）
2. 放到 Web 服务器 / 共享盘 / Azure Blob
3. 用户访问 install.htm → 下载安装
4. 程序每次启动检查更新 → 有新版自动下载替换

VS 里：项目属性 → Publish → ClickOnce 发布向导，设发布位置、更新策略（启动时检查 / 间隔 N 天）、签名。

1
2
3
4
5
ClickOnce 适合：
  ✓ 企业内部工具（用户点链接即装，自动更新，不需管理员权限）
  ✓ 频繁更新的小工具
  ✗ 需要系统服务 / 驱动 / 复杂机器级安装的（ClickOnce 不是这类安装器）
  ✗ 需要"商店分发"的现代场景（用 MSIX）

ClickOnce 会根据部署清单管理版本和文件，更新体验受包体、文件变更和网络环境影响。它仍是 WinForms 内网分发和自动更新的低成本选项。

四、MSIX：现代打包

MSIX（Windows 10+）是现代 Windows 应用包格式，提供包标识、可预测的安装/卸载和商店或企业分发能力。是否自动更新取决于 Microsoft Store 或 App Installer 等分发配置；打包的桌面程序也不能一概称为“运行在沙箱中”。

1
2
3
4
5
6
MSIX vs ClickOnce：
  MSIX      现代包格式，干净安装，商店分发，需打包工程
  ClickOnce 老牌，零摩擦，内网/网页分发，更新简单

  → 想进 Microsoft Store / 企业私店 → MSIX
  → 内网快速分发 + 自动更新 → ClickOnce 够用

打包用 Visual Studio 的"Windows 应用程序打包项目"（WAP）或 MakeAppx 工具。MSIX 要签名（证书），企业分发用内部 CA，商店分发用 MS Store 关联。

五、自动更新实现

不用 ClickOnce/MSIX 时，更新程序至少要完成下面这条受信任的链路：

1
2
3
4
5
6
7
从 HTTPS 端点获取签名的版本清单
  → 校验发布者签名、版本和包哈希
  → 下载到独立临时目录
  → 再次校验完整性和代码签名
  → 由独立更新器等待主程序退出
  → 原子切换版本，失败则回滚
  → 启动新版本并记录结果

不要把“下载 exe、覆盖原文件、Application.Restart()”当作可上线的更新方案。它缺少签名校验、原子替换、失败回滚、权限和文件占用处理，既容易更新失败，也可能变成供应链攻击入口。

开源方案：Velopack、Squirrel.Windows，封装了检查/下载/替换/快捷方式全套。

六、代码签名

未签名或缺少信誉的 exe 可能触发 Windows SmartScreen 警告。面向企业或公网正式分发时应进行代码签名 ：

1
2
3
4
签名方式：
  代码签名证书（EV / OV）+ signtool.exe
  EV / OV 证书  用于验证发布者和保护产物完整性
  SmartScreen 是否提示还受信誉、策略和签名状态影响，任何证书都不应写成“立即过”的保证

1
2
signtool sign /fd sha256 /a /tr http://timestamp.sectigo.com /td sha256 \
  /n "Your Company Name" MyApp.exe

内部分发用自签名证书（企业 CA 推到用户机器的根证书）；公网分发用商业代码签名证书。

七、部署选型

1
2
3
4
5
6
7
8
你的场景                              推荐
──────────────────────────────────────────────────────
个人/小工具，拷给朋友                  单文件 exe（U 盘/网盘）
企业内部，频繁更新                     ClickOnce（网页/共享盘 + 自动更新）
进 Microsoft Store / 企业私店         MSIX
要启动快                              单文件 + ReadyToRun
要正式分发，过 SmartScreen             商业代码签名 + 单文件/MSIX
自动更新不想自己造                     Velopack / Squirrel

八、小结

1
2
3
4
5
6
7
WinForms 部署核心：
  ✓ dotnet publish --self-contained + PublishSingleFile = 单 exe 分发
  ✓ ReadyToRun 加速启动（体积换启动）；Trim 别开
  ✓ ClickOnce：内网零摩擦安装 + 自动更新（最省心）
  ✓ MSIX：现代包，适合商店/企业私店
  ✓ 自动更新：ClickOnce/MSIX 自带；或 Velopack/Squirrel
  ✓ 对外或企业分发应使用代码签名，以确认发布者并保护完整性

下一篇：WinForms vs WPF——两个框架对照、选型决策、迁移路径，系列收官。