为何Inno Setup制作的简易安装程序被安全软件标记为危险？求低成本方案

我完全理解你的处境——给不到10位客户做的数据库更新工具，却被各类安全软件标记为潜在危险，付费代码签名又显得太不划算。咱们先聊聊为啥会出现这种情况，再看看几个实用的低成本解决办法：

为什么你的安装包会被标记？ #

安全软件的判定逻辑主要聚焦这几点：

• 无数字签名：没有经过信任机构签名的程序，本身就会被视为高风险项。
• 修改系统保护目录：你的脚本直接往C:\Program Files (x86)\LOGItram写入文件，这个目录是Windows的系统保护目录，对写入操作的监控异常严格。
• 极简安装逻辑：CreateAppDir=no的设置让安装包跳过了常规的安装目录流程，行为模式更接近可疑程序。

可行的低成本解决方案 #

1. 调整安装权限与目标目录 #

把安装包改成「仅当前用户安装」，并将文件写入用户私有目录，避开系统保护目录，能大幅降低误报概率：

• 在[Setup]段中取消注释PrivilegesRequired=lowest，这样安装时不需要管理员权限。
• 把DestDir从系统目录改成用户私有目录，比如{userappdata}\LOGItram（需要提前确认客户的绘图软件能读取这个目录的文件）。

修改后的脚本片段示例：

[Setup]
PrivilegesRequired=lowest
; 其他原有设置保持不变

[Files]
Source: "C:\Program Files (x86)\LOGItram\PricesByQty_Starwall.xlsm" ; DestDir: "{userappdata}\LOGItram" ; Flags: ignoreversion
; 其他文件条目同理修改DestDir路径

2. 使用自签名证书（完全免费） #

你可以自己生成自签名证书来签名安装包，虽然第三方安全软件不会默认信任这个证书，但可以指导客户把你的证书导入系统信任列表，这样就不会再触发误报了：

1. 安装Windows SDK（自带signtool签名工具）。
2. 生成自签名证书：

   makecert -r -pe -n "CN=Starwall" -ss my -sr localmachine -sky signature -eku 1.3.6.1.5.5.7.3.3 Starwall.cer
   

3. 用证书签名你的安装包：

   signtool sign /f Starwall.cer /p [你的证书密码] Starwall_DataBase_Basedonee_Setup.exe
   

4. 把生成的Starwall.cer发给客户，让他们双击导入到「受信任的根证书颁发机构」即可。

3. 优化Inno Setup脚本的行为细节 #

• 给安装包添加更详细的元数据：在[Setup]段中加入AppComments=Starwall绘图软件专属数据库更新工具，让安全软件能识别程序的合法用途。
• 避免直接覆盖系统目录文件：可以先把文件解压到临时目录，再通过弹窗提示让用户手动复制，或者在安装前检查目标目录权限并给出明确说明。

4. 向安全软件提交误报申诉 #

针对客户常用的安全软件（比如微软Defender、360安全卫士等），把你的安装包提交到它们的误报申诉平台，说明这是给特定客户使用的合法更新工具。虽然需要逐个平台提交，但对于小范围客户来说，覆盖几个主流软件就能解决大部分问题。

总结 #

对于仅服务10位客户的场景，以上方法都比付费代码签名更划算。其中自签名证书+调整安装目录的组合是最稳妥的，既能彻底解决误报问题，又不需要额外成本，只需要给客户做简单的证书导入指导就行。

内容的提问来源于stack exchange，提问作者be pma