使用C#及Microsoft Outlook Interop设置应用信任状态的方法

问题场景 #

我们使用Outlook互操作服务的代码如下，多数用户运行正常，但部分用户遇到0x80004004错误——这是因为用户注册表设置了HKCU\software\policies\microsoft\office\16.0\outlook\security -> PromptOOMSend:0（自动拒绝Outlook对象模型发件请求），普通非插件应用被Outlook安全策略拦截。需要将应用标记为可信应用以忽略该限制。

原使用的Outlook互操作代码 #

using Outlook = Microsoft.Office.Interop.Outlook;

// ...

private Outlook.MailItem _message = null;

// ...

SendingMailStarted?.Invoke(this, EventArgs.Empty);
InitMailParams();
_message.Send();
SendingMailCompleted?.Invoke(this, new AsyncCompletedEventArgs(null, false, null));

// ...

private void InitMailParams()
{
    Outlook.Application outlook;
    if (!Process.GetProcessesByName("OUTLOOK").Any())
    {
        Log.Debug("Outlook not running. Creating new outlook application object!");
        outlook = new Outlook.Application();
    }
    else
    {
        Log.Debug("Getting the current outlook application object!");
        try
        {
            outlook = (Outlook.Application)Marshal.GetActiveObject("Outlook.Application");
        }
        catch (COMException exc)
        {
            Log.Debug("Current running Outlook object not accessible - HResult: " + exc.HResult);
            Log.Debug("Creating new outlook application object instead!");
            outlook = new Outlook.Application();
        }
    }

    _message = (Outlook.MailItem)outlook.CreateItem(Outlook.OlItemType.olMailItem);
    Outlook.Recipients recipients = _message.Recipients;

    // ...
}

解决方案 #

针对现代Outlook（2016/365及以后版本），以下是可行的可信应用配置方法：

1. 用代码签名证书签署应用 #

• 使用EV或OV级别的代码签名证书（由微软信任的CA颁发）签署你的应用程序（EXE/DLL）。Outlook会默认信任经过合法签名的程序，自动跳过OOM发件拦截，不受PromptOOMSend设置影响。
• 注意：自签名证书无法被Outlook识别为可信，必须使用公共CA颁发的有效证书。

2. 注册表添加可信应用条目 #

• 针对用户或机器级别添加注册表项，标记应用为可信：
  • 用户级路径：HKCU\Software\Microsoft\Office\16.0\Outlook\Security\Trusted Applications
  • 机器级路径：HKLM\Software\Microsoft\Office\16.0\Outlook\Security\Trusted Applications
  • 步骤：
    1. 在上述路径下新建子项，名称为应用的完整绝对路径（例如C:\Program Files\YourApp\YourApp.exe）
    2. 在该子项中创建DWORD类型值TrustLevel，设置为2（代表完全信任）
  • 说明：路径必须精确匹配，Outlook会同时校验路径和程序签名，两者一致才会生效。

3. 替代方案：迁移到Graph API/REST API #

如果无法配置可信应用，建议放弃OOM，改用Microsoft Graph API或Outlook REST API。这些API基于OAuth2认证，不依赖Outlook客户端的OOM安全策略，不会触发拦截，更适合跨版本和云环境的应用。

补充说明 #

旧版Outlook 2007的DLL哈希注册表方法仅适用于插件，对普通EXE应用无效。现代Outlook的可信机制核心是代码签名+注册表标记，或直接使用云端API规避OOM限制。

内容的提问来源于stack exchange，提问作者Marcel Grüger