如何消除Windows程序（Inno Script打包EXE）下载后的安全警告

Windows用户打开你的EXE时出现安全警告，核心原因是程序未经过可信的代码签名，Windows的SmartScreen筛选器会标记未知发布者的程序为潜在风险。以下是具体解决方法和相关信息：

核心解决方案：代码签名 #

必须给你的Inno打包生成的EXE文件添加可信CA颁发的代码签名证书，这是让系统判定程序安全的关键步骤。

是否需要注册？ #

需要，你需要向微软信任的证书颁发机构（CA）申请代码签名证书，没有这个证书，几乎无法彻底消除安全警告。

证书获取相关细节 #

申请机构 #

选择微软信任的正规CA，比如国际的DigiCert、GlobalSign、Sectigo，国内的沃通、天威诚信等，这些机构的证书会被Windows系统直接信任。

操作流程 #

1. 选择证书类型：个人开发者优先选「个人代码签名证书」，企业开发者可选OV（组织验证）或EV（增强验证）证书，EV证书能最快绕过SmartScreen警告，还支持驱动签名。
2. 身份验证：向CA提交验证材料，个人需提供身份证、邮箱等信息；企业需提供营业执照、组织证明等，CA会完成身份核验。
3. 获取证书并签名：拿到证书后，用签名工具给EXE签名：
   • 用Windows自带的signtool.exe，命令示例：

     signtool sign /f 你的证书文件.pfx /p 证书密码 /t http://timestamp.digicert.com 你的程序.exe
     

   • 也可以直接在Inno Setup脚本中配置自动签名，添加如下参数：

     SignTool=signtool sign /f "C:\证书路径\cert.pfx" /p "证书密码" $f
     

   注意：一定要加时间戳，确保证书过期后签名依然有效。

费用 #

• 个人代码签名证书：每年约100-300美元，国内机构的产品大概几百到一千五百元人民币/年。
• EV代码签名证书：每年约500-1000美元，国内产品大概三千到八千元人民币/年，EV证书需要搭配硬件加密狗使用，安全性更高。

额外辅助措施 #

• 优先发布到正规平台：比如微软商店、知名软件下载站，平台的信誉会帮助降低SmartScreen的警告概率。
• 积累程序信誉：新签名的程序初期可能仍有少量警告，随着下载量增加、用户好评积累，SmartScreen会逐步解除警告。
• 避免不必要的加壳：额外加壳工具可能被误判为恶意程序，尽量使用Inno Setup自带的压缩功能。

内容的提问来源于stack exchange，提问作者Vatar