windows - Microsoft SmartScreen - 使用 Inno Setup 安装程序暂停？

Question

我总是使用 Inno Setup 进行打包和发布。用户使用链接下载应用程序，例如:https://oursite.com/codesigned/mysetup.exe

到目前为止，它一直有效。但最近我必须更新我的代码签名证书，因为它已过期。续订后，我遇到了 SmartScreen 问题，每个用户都下载了该应用程序并获得了这个以前没有的 Smartscreen。

我已经使用signtool.exe verify/pa innosetup-made-myexe.exe并且显示成功，我也使用Windows应用程序认证套件完成了验证，这表明它已通过，但有警告，所有这些警告主要由 Inno Setup 生成。

在这里您可以找到输出，其中显示 Inno Setup exe 上的警告:

https://docs.google.com/document/d/11frW_GxI0xSVcrAXh4_rqcKBQSaermAlpYKj4xzQi4o/pub

如何解决这个问题？

(仍然不确定它的标准代码签名与 EV 代码签名是否存在问题？我已经使用标准代码签名几年了，它总是有效。我可以升级到 EV 代码签名，但如何确保它不是 Inno Setup编译器问题？正如您所见，警告已显示在上面 Inno Setup 的 URL 中)

为了验证是否是 Inno Setup 或代码签名问题(请参阅 https://stackoverflow.com/a/29067585/285594 )，我已执行以下操作:

1. 我从 Microsoft 下载了文件调用 winqual.exe，它不需要 Inno Setup。

2. 我对 winqual.exe 进行了代码签名并上传到我的同一服务器

3. 我使用 Internet Explorer 下载了相同的文件，它可以正常工作，而无需向我显示 SmartScreen。

如果 Inno Setup 是导致此问题的主要原因，现在还有意义吗？

Answer 1

现在，您必须使用 EV 代码签名证书。
请参阅Transferring Microsoft SmartScreen reputation to renewed certificate .

以下是原始答案，其中解决了问题的一些细节。

<小时/>

如果您认为问题是由于未签名的卸载程序造成的，请确保相应地设置 Inno Setup 项目的 SignTool 指令。并确保 SignedUninstaller 指令具有默认值 yes。

引用SignTool directive documentation :

Specifies the name and parameters of the Sign Tool to be used to digitally sign Setup (and Uninstall if SignedUninstaller is set to yes). When Setup has a valid digital signature, users will not see an "unidentified program" warning when launching it.

<小时/>

如果您想为卸载程序设置 NXCOMPAT 和 DYNAMICBASE 标志，您可以创建一个 sign.bat 批处理文件，该文件同时调用 signtool.exe 和 editbin.exe :

@echo off
editbin.exe /NXCOMPAT /DYNAMICBASE %1
signtool.exe sign ... %1

调用需要按此顺序，否则 editbin.exe 会破坏签名。

然后在 SignTool 指令中使用 sign.bat 而不是 signtool.exe。

虽然我真的认为这没有必要，也没有任何帮助。