如何阻止Install4j(v8)从应用安装目录加载本地DLL？

问题根源 #

这确实是Windows的默认行为：系统会优先从应用程序的安装目录搜索并加载DLL，之后才会去C:\Windows\System32等系统目录查找。所以一旦安装目录出现同名的损坏/恶意DLL，就会被优先加载，带来风险。

可行解决方法 #

• 调整Install4j启动器的DLL搜索优先级
  在Install4j的项目配置里，找到对应启动器（比如Client.exe的启动配置），在「VM选项」中添加：

  -Djava.library.path=C:\Windows\System32
  

  强制JVM优先从系统目录加载本地库。注意：如果你的应用本身依赖安装目录下的自定义DLL，这个设置会导致那些DLL无法被加载，需要根据实际情况调整路径（比如把系统目录和自定义DLL目录都加上，但系统目录放前面）。
  另外也可以用Install4j的「自定义启动器」功能，在「本地库」设置项里调整搜索顺序，把System32放在最顶端。

• 给可执行文件添加应用清单
  为Client.exe创建应用程序清单文件（Client.exe.manifest），在清单中指定优先加载系统目录的DLL。比如针对特定系统DLL，添加依赖声明：

  <dependency>
    <dependentAssembly>
      <assemblyIdentity type="win32" name="Microsoft.Windows.Common-Controls" version="6.0.0.0" processorArchitecture="*" publicKeyToken="6595b64144ccf1df" language="*"/>
    </dependentAssembly>
  </dependency>
  

  或者通过<fileRedirection>配置禁止本地目录的DLL被加载，强制使用系统版本。

• 精细化设置安装目录权限
  不要把整个安装目录设为只读，而是拆分权限：

  • 将存放DLL的目录（比如bin）设置为只读权限（仅管理员可修改），普通用户无法写入或替换文件；
  • 单独给日志目录（比如logs）保留写入权限，让应用能正常生成日志。
    操作路径：右键目标目录→属性→安全→编辑权限，针对不同目录分配对应权限即可。

• 锁定关键DLL文件
  在Install4j的「文件」配置环节，对应用依赖的关键系统同名DLL设置文件锁定，安装后禁止修改、删除或替换这些文件。这样即使有恶意程序试图替换DLL，也会因为文件被系统锁定而失败。

注意事项 #

如果你的应用需要加载安装目录下的自定义DLL，务必保证这些DLL的文件名和系统DLL完全不重复，避免触发优先级冲突导致功能异常。每种方法都要在测试环境验证后再部署到生产环境，确保应用核心功能不受影响。

内容的提问来源于stack exchange，提问作者munter