.net ClickOnce。应用程序未签名

我有一个ClickOnce应用程序，它已经运行了一段时间没有问题了。我现在正尝试将其部署到具有更严格安全限制的客户：在IE中，他们的设置仅允许已签名的应用程序运行（工具>>Internet选项>>安全选项卡>>Internet>>自定义级别…>>运行未使用Authenticode=Disable签名的组件，运行使用Authenticode=Enable签名的组件）

他们可以运行应用程序的SetUp.exe（默认publish.htm上的[Install]按钮），但当他们尝试单击启动链接（指向app.application文件而不是SetUp.exe）时，会出现以下错误：

激活https://{DOMAIN}/client/app.application导致异常。检测到以下故障消息：

您的Web浏览器设置不允许您运行未签名的应用程序

我可以用相同的IE设置重新创建问题，但是

• 应用程序使用Thawte代码签名证书进行签名 2017年到期。（项目>>属性>>签署>>签署ClickOnce清单。）
• 使用强名称密钥文件对程序集进行签名
• SetUp.exe的属性（在资源管理器中）显示数字 证书，但.application（和.exe.manifest）不应 他们

我尝试过使用MageUI.exe对.application和.exe.manifest文件进行（重新）签名，但IE仍然抱怨它们没有签名

感觉好像我错过了一些明显的东西…有什么想法吗