Местоположение манифеста определяется в файле .application развертывания ClickOnce (в теге independentAssembly). Я не уверен, как вы могли бы все это перепутать, если сгенерировали это, определив это в свойствах вашего проекта. Кроме того, после создания манифеста его нельзя изменить, поскольку в нем хранятся хеш-коды для его проверки.
Я бы проверил файл .application и проверил, что указанный там URL-адрес правильный, и что его корень совпадает с путем к файлу .application. Фактически, обычно путь к файлу манифеста определяется как относительный URL-адрес, что означает, что если пользователь смог получить доступ к файлу .application, на самом деле нет никаких причин, по которым он не должен иметь возможность получить файл манифеста. .
UNLESS - возможно, у вас есть другая защита, определенная в подпапке в папке, где хранится файл .application? Возможно, веб-сервер пытается заставить пользователя войти в систему, когда у него нет надлежащего безопасного доступа к подпапке, но есть доступ к корневой папке.