如何防止侧载APPX应用被在线分发？侧载应用能否撤销？

嘿，针对你提到的两个关于侧载APPX的问题，我整理了一些实用的方案和细节，希望能帮到你：

想要限制APPX包被随意传播，核心是从安装权限和运行权限两方面入手，以下是几种可行的方法：

• 企业证书+设备/用户绑定：用企业级代码签名证书签署APPX，同时通过本地组策略或者MDM（移动设备管理）工具，配置只有特定设备或用户能安装带该证书签名的应用。就算包被泄露，没有对应的信任证书或授权设备，其他人也没法完成安装。
• 运行时授权校验：在APP内部加入启动验证逻辑，比如每次启动时检查设备的唯一硬件标识（如主板SN、TPM信息），或者和你的后端服务进行密钥验证。如果校验失败，直接终止应用运行。这种方式没法完全阻止包被分发，但能有效限制它在未授权设备上使用。
• 加密APPX包：使用Windows自带的MakeAppx.exe工具创建加密的APPX包，分发时仅向授权用户提供解密密钥。没有密钥的话，拿到包也无法正常安装和运行。示例命令：

  MakeAppx.exe pack /d <应用源文件目录> /p <输出加密包路径> /encrypt /keyfile <你的密钥文件>
  

• 限制证书使用范围：如果使用的是付费第三方代码签名证书，可以联系证书颁发机构（CA）设置证书的使用限制，比如仅允许在特定域名或IP范围内验证，不过这个操作需要和CA沟通协调，流程相对复杂。

侧载应用本身没有像商店应用那样的原生撤销机制，具体取决于你采用的部署和授权方式：

• 无自定义授权的普通侧载：如果你的APP没有自己的授权系统，Windows不会提供远程撤销功能。用户安装后只能手动卸载，你无法远程强制移除或禁用应用。
• 自定义授权系统的侧载应用：如果你自己实现了后端授权校验（比如前面提到的运行时验证），可以在后端标记该用户/设备的授权失效，下次应用启动时校验不通过就禁止运行，这相当于“软撤销”。
• MDM部署的侧载应用：如果是通过企业MDM平台（比如Microsoft Intune）部署的侧载APP，你可以在MDM控制台发起远程卸载命令，强制从目标设备上移除应用，这是比较彻底的撤销方式。
• 和商店应用的区别：商店应用的撤销由微软商店负责（比如退款后自动禁用），但侧载应用没有这个原生支持，必须依赖自定义授权方案或MDM工具来实现类似功能。

内容的提问来源于stack exchange，提问作者user3079907