启用/INTEGRITYCHECK的自签名C++ exe遭Windows Defender拦截求助

我来帮你梳理下可能的原因和解决思路，你遇到的这种情况其实挺常见的，不一定是依赖问题，先从这几个方向排查：

1. 自签名证书的信任局限 #

虽然你已经把自签名证书添加到了受信任根证书库，但Windows Defender的SmartScreen筛选器和安全策略对自签名程序的信任度还是远低于正规CA颁发的证书。毕竟自签名证书是你自己颁发的，没有经过微软认可的信任链背书，系统依然会对这类程序保持警惕，尤其是首次运行时很容易触发拦截。

解决建议：

• 测试场景下，可以临时将该exe添加到Windows Defender的排除项中；
• 如果是面向用户发布的程序，建议购买正规的代码签名证书（比如DigiCert、GlobalSign等CA机构的证书），这类证书能被微软安全体系完全信任。

2. 确认/INTEGRITYCHECK选项是否真的生效 #

首先要确保这个链接器选项已经正确应用到你的exe上：

• 用命令 dumpbin /headers your.exe 查看输出，找到“Integrity Check”字段，确认其值为True；
• 注意：/INTEGRITYCHECK仅对64位PE文件生效，如果你编译的是32位exe，这个选项不会起作用，系统也不会强制进行完整性校验，这时候签名也可能被拦截。

3. 检查签名过程是否完整有效 #

签名环节的疏漏也可能导致拦截，你可以通过以下步骤验证：

• 用 signtool verify /pa your.exe 命令验证签名有效性，查看是否有错误提示；
• 签名时建议加上时间戳参数，比如 signtool sign /f yourcert.pfx /p password /t http://timestamp.digicert.com your.exe，时间戳能避免证书过期后签名失效，也能提升系统对签名的信任度；
• 确保使用的证书包含正确的代码签名扩展，有些自签名证书可能没配置这个扩展，导致签名不被系统认可。

4. 排查依赖文件的完整性问题 #

你怀疑的依赖问题确实有可能：

• 用 dumpbin /dependents your.exe 列出exe依赖的所有DLL，逐个检查这些DLL的签名状态：系统自带DLL应是微软签名的，第三方DLL如果是你自己编译的，也需要用相同的证书签名；
• 如果依赖的DLL存在篡改、未签名，或者加载了不在预期路径中的可疑DLL，Windows Defender会因为整个程序集的安全风险拦截主exe。

5. 考虑Windows Defender的误报情况 #

有时候即使所有步骤都正确，Defender也会因为程序的行为特征（比如特定API调用、文件操作逻辑）误判为恶意程序。

• 可以先临时关闭Defender的实时保护，测试exe是否能正常运行，以此判断是否是误报；
• 如果确认是误报，可以将exe样本提交给微软进行申诉，让其更新病毒库排除误判。

内容的提问来源于stack exchange，提问作者AcCoder