如何优化已签名Access前端的信任授权用户体验

我的应用由Microsoft Access .accde前端及关联资源文件组成，通过签名后的NSIS安装器.exe复制到用户桌面。.exe与.accde均已用代码签名证书签名，运行正常。但新用户首次运行.accde时，Access会弹出警告弹窗，功能区下方显示「SECURITY WARNING」安全警告。

虽然最安全的操作是点击下划线链接，选择「Enable Content→Advanced Options」，再勾选「Trust all documents from this publisher」（此方式比单文件信任更可靠：单文件信任存在被移动、重命名或替换的风险，且Office无法查看可信文件列表，只能批量删除；信任发布者后，同一证书签名的后续更新无需重复操作），但当前用户体验极差，普通用户难以完成操作，需编写详细指引，还需担心微软更新破坏现有流程。

现需解决：能否优化该流程？能否在NSIS安装期间以编程方式提示用户信任发布者？能否利用安装器的高权限（如修改注册表）自行设置发布者信任状态？

环境：64位Office 365，Win10/11系统。

一、安装时引导用户信任发布者 #

可在NSIS安装流程中添加可视化引导步骤，简化用户操作：

• 在安装完成前，弹出定制化窗口，清晰告知用户首次运行会出现安全警告，并分步展示操作步骤（搭配截图提示更直观）
• 直接引导用户点击「Enable Content→Advanced Options→Trust all documents from this publisher」，强调此操作仅需一次，后续更新无需重复
• 用通俗语言解释信任发布者的安全性，比如“我们的软件已通过正规证书签名，信任发布者可确保后续更新的安全性，比单独信任文件更可靠”

二、通过注册表编程设置发布者信任状态 #

利用NSIS的注册表操作能力，可直接将证书的公钥哈希值添加到Office的可信发布者列表中，无需用户手动操作。具体步骤如下：

1. 获取证书的公钥哈希值 #

从已签名的.accde文件中提取证书信息，获取公钥哈希（SHA1或SHA256，取决于Office版本）：

• 使用命令行工具signtool.exe verify /v /pa your-app.accde，在输出中找到「Issuer」「Subject」以及公钥哈希值（如SHA1哈希）
• 或者通过证书管理器导出证书，查看其公钥指纹

2. 写入Office可信发布者注册表项 #

针对64位Office 365 Click-to-Run版本，需操作64位注册表路径：

• 可信发布者的注册表路径为：HKLM\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\Microsoft\Office\16.0\Common\Security\Trusted Publishers\Certificates
• 在该路径下，创建以公钥哈希值（全部大写，无分隔符）命名的子项，将证书的二进制数据（DER格式）写入默认值

在NSIS中可使用WriteRegBin命令实现，示例代码：

; 假设公钥哈希为 ABCDEF1234567890ABCDEF1234567890ABCDEF12
; 证书二进制数据存储在cert.bin文件中
ReadEnvStr $PROGRAMFILES CommonFiles64
SetRegView 64
WriteRegBin HKLM "SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\Microsoft\Office\16.0\Common\Security\Trusted Publishers\Certificates\ABCDEF1234567890ABCDEF1234567890ABCDEF12" "" "$INSTDIR\cert.bin"

注意事项 #

• 需确保安装器以管理员权限运行（NSIS中添加RequestExecutionLevel admin）
• 若为Office 365 MSI安装版，注册表路径为HKLM\SOFTWARE\Microsoft\Office\16.0\Common\Security\Trusted Publishers\Certificates
• 需验证证书哈希值的正确性，避免因格式错误导致信任失效
• 微软可能调整注册表结构，需定期测试兼容性

三、其他优化建议 #

• 在安装完成后，直接运行.accde文件，并配合弹窗提示用户操作（若未通过注册表设置信任）
• 将关联资源文件放在受信任的位置（如C:\Program Files下的应用目录），Office默认信任该目录下的文件，可减少警告次数

内容的提问来源于stack exchange，提问作者Hugh W