1. 项目概述：为什么我们需要与驱动签名“较劲”

如果你曾经尝试在Windows 10或11上安装一个老旧的硬件驱动，或者运行一些用于开发、调试的特殊内核级工具，那么“Windows 无法验证此设备所需的驱动程序的数字签名”这个黄色感叹号弹窗，对你来说绝对不陌生。这个看似为了安全而设的屏障，在实际工作中，尤其是嵌入式开发、逆向工程、旧设备维护乃至一些特定的学术研究场景下，常常成为阻碍我们“干活”的最大绊脚石。

驱动数字签名检查，本质上是微软推行的一套“信任链”机制。从Windows Vista引入驱动签名要求开始，到Windows 10强制启用，再到与UEFI安全启动（Secure Boot）深度绑定，这套机制的目的是确保加载到系统内核的每一段代码都来自可验证的、受信任的发布者，从而从根源上杜绝 rootkit 等恶意软件的入侵。理想很丰满，但现实是，大量合法的、小众的、开源的或者历史遗留的驱动程序，根本没有（也负担不起）向微软购买昂贵的扩展验证（EV）代码签名证书。当系统拒绝加载这些驱动时，我们的开发板无法连接，专业设备变成砖头，实验无法继续。

因此，“永久禁用驱动数字签名检查”就从一个“黑客技巧”变成了很多技术从业者的刚性需求。它不是在教人作恶，而是在一个受控的、明确风险的环境下（例如，专属的开发机、不联网的测试平台），为自己争取必要的操作自由度。网上流传的“F8临时禁用”方法重启即失效，而我们的目标，是找到一种相对稳定、一劳永逸的解决方案，让你在每次开机时，都不必再与这个安全提示纠缠。

2. 核心原理与风险认知：知其然，更知其所以然

在动手之前，我们必须彻底理解我们在做什么，以及随之而来的风险。这不是一个可以随意在主力机或生产环境上操作的动作。

2.1 驱动签名机制是如何工作的？

现代Windows的驱动签名强制检查，主要通过两个层面实现：

1. 内核模式代码签名（KMCS）策略：这是最直接的关卡。系统内核加载驱动程序（.sys文件）时，会检查其嵌入式数字签名。签名必须来自受微软信任的根证书颁发机构（CA）颁发的有效证书，并且该证书没有被吊销。如果签名无效或缺失，默认情况下内核将拒绝加载。
2. 安全启动（Secure Boot）的连锁反应：这是UEFI固件的一项安全功能。它确保电脑启动时只加载由原始设备制造商（OEM）信任的引导加载程序（如Windows Boot Manager）。当Secure Boot开启时，它会强制要求启动加载程序也必须经过签名验证。而修改启动参数（如我们后面要用到的bcdedit）来禁用签名检查，在某些配置下可能会与Secure Boot冲突，导致系统无法启动。

2.2 禁用签名检查的实质是什么？

我们所说的“禁用”，在大多数语境下，并不是从系统中抹除了签名验证功能，而是修改了Windows启动配置，增加了一个特殊的启动参数。这个参数告诉Windows内核：“在本次启动会话中，暂时放宽签名强制策略”。最核心的参数就是testsigning和nointegritychecks。

• testsigning on：启用测试签名模式。在此模式下，系统允许加载带有“测试签名”的驱动程序。开发者可以使用自签名的证书对驱动进行签名，并在本机测试。这是微软官方为驱动开发者提供的合法测试通道。但注意，桌面水印会显示“测试模式”。
• nointegritychecks on：更激进一些。它直接告诉内核跳过对驱动映像的完整性检查（包括签名检查）。这能允许加载完全无签名的驱动。

我们追求的“永久”，实质上是让这个启动参数在每次开机时都自动生效。

2.3 你必须清楚的风险与前提

警告：此操作会显著降低系统安全性，仅建议在以下环境使用：

1. 专用开发/测试计算机：不处理敏感数据，不进行网上银行、重要账号登录等操作。
2. 物理隔离的网络：最好完全不连接互联网，或仅在受控的内网环境中使用。
3. 你完全信任所要安装的驱动程序：确保驱动来源可靠，非恶意软件伪装。
4. 做好系统备份：修改启动配置有极小概率导致系统无法启动（特别是与Secure Boot冲突时），请务必提前创建系统还原点或备份重要数据。

如果你在公司的办公电脑或存有重要个人资料的电脑上操作，请务必获得授权并三思而后行。一旦禁用签名检查，恶意软件将更容易潜入系统内核。

3. 方案选型与工具解析：从临时到“永久”

网上方法繁多，从每次开机按F8到修改组策略，我们需要梳理出最可靠、最持久的方案。核心工具是Windows自带的bcdedit（启动配置数据存储编辑器）。

3.1 方案对比：哪种“永久”适合你？

1. F8临时禁用（重启失效）：启动时在高级启动选项中选择“禁用驱动程序强制签名”。这是最安全、最临时的方法，不适合需要频繁使用未签名驱动的场景。
2. 启用测试模式（testsigning）：相对折中。允许加载用自签名证书签名的驱动。适合驱动开发者。开启后桌面会有水印，部分安全软件可能会报警。
3. 禁用完整性检查（nointegritychecks）：更彻底。允许加载任何驱动，无论有无签名。这是我们实现标题“永久禁用”目标最常用的核心参数。
4. 修改组策略（仅限Windows专业版及以上）：路径：gpedit.msc-> 计算机配置 -> 管理模板 -> 系统 -> 驱动程序安装 -> “设备驱动程序的代码签名”。将其设置为“已禁用”或“忽略”。注意：这个策略在某些最新版本的Windows中可能效果不彰，尤其是与安全启动配合时，它可能无法覆盖内核层面的强制检查。
5. 关闭安全启动（Secure Boot）：在UEFI/BIOS设置中关闭。这会从根本上允许系统加载未签名的启动组件，从而为禁用驱动签名检查扫清障碍。风险极高，会削弱整个启动链的安全，且可能影响Windows 11的安装与正版认证。

实操心得： 对于大多数寻求“永久禁用”的开发者，我的推荐路径是：首选方案3（nointegritychecks），若遇到问题（如设置后不生效），再考虑配合方案5（关闭Secure Boot）。方案2（测试模式）适用于需要自签名驱动的规范开发流程。方案4（组策略）可以作为一个辅助措施，但不要完全依赖它。

3.2 核心工具：bcdedit 详解

bcdedit是管理Windows启动配置的命令行神器。我们所有的“永久”设置，都通过修改BCD（Boot Configuration Data）存储来实现。

• 如何运行：必须以管理员身份运行命令提示符（CMD）或Windows PowerShell。
• 关键命令格式：

  bcdedit /set {current} <参数名> <参数值>

  • {current}：代表当前正在使用的Windows启动项。这是最安全的操作对象，确保你修改的是当前系统。
  • /set：设置参数。
  • 参数名和值：即我们要操作的testsigning或nointegritychecks。

注意事项： 在操作前，最好先导出当前配置作为备份：

bcdedit /export C:\BCD_Backup.bcd

如果修改后无法启动，你可以通过Windows安装介质进入恢复环境，使用bcdedit /import命令恢复。

4. 永久禁用驱动签名检查的完整实操流程

下面我们以最常用的nointegritychecks方法为例，展示从开始到验证的完整步骤。假设我们的环境是 Windows 11，并已关闭了Secure Boot（如果未关闭，请先参照4.3节操作）。

4.1 步骤一：以管理员身份启动命令行

这是所有操作的基础。右键点击“开始”按钮，选择“终端（管理员）”或“命令提示符（管理员）”。在用户账户控制（UAC）提示时点击“是”。

4.2 步骤二：执行禁用完整性检查命令

在打开的管理员命令行窗口中，输入以下命令并按回车：

bcdedit /set {current} nointegritychecks on

如果命令执行成功，你会看到“操作成功完成”的提示。

参数解析：

• nointegritychecks on：这个参数就是指令内核跳过驱动文件的完整性校验。它比testsigning更彻底，testsigning还要求有个签名（哪怕是测试签名），而nointegritychecks则来者不拒。

4.3 步骤三：处理安全启动（Secure Boot）冲突

这是最关键也最容易出错的一步。如果你的电脑UEFI固件中的Secure Boot 处于开启状态，那么上述bcdedit的设置很可能在下次重启后失效。因为Secure Boot会验证启动管理器（bootmgr）和内核本身，任何对启动链的“非授权”修改（比如我们添加的允许未签名代码加载的参数）都可能导致验证失败，系统会自动回退到安全配置。

因此，你需要进入BIOS/UEFI设置关闭Secure Boot：

1. 重启电脑，在开机自检（POST）画面出现时，快速连续按指定键进入UEFI/BIOS设置界面（常见键：Del, F2, F10, F12，因主板品牌而异）。
2. 在设置界面中，找到“安全”（Security）或“启动”（Boot）选项卡。
3. 寻找“Secure Boot”选项，将其状态从“Enabled”（启用）改为“Disabled”（禁用）。
4. 保存更改并退出（通常是按F10，选择Yes）。电脑将重启。

注意：关闭Secure Boot后，你可能会看到启动时出现“安全启动违规”的提示（这不是错误，只是告知），并且Windows 11在首次启动时可能会要求你输入BitLocker恢复密钥（如果你的系统盘启用了BitLocker）。请务必提前知晓你的BitLocker恢复密钥。

4.4 步骤四：重启系统并验证

执行完命令并关闭Secure Boot后，重启你的计算机。

重启进入桌面后，我们需要验证设置是否生效。有两种方法：

1. 命令行验证： 再次以管理员身份打开命令提示符，输入：

   bcdedit /enum {current}

   在输出的信息中，仔细查找integritychecks这一行。如果显示nointegritychecks Yes，则说明设置成功。

2. 实战验证（推荐）： 尝试安装一个你之前因数字签名问题而无法安装的驱动程序。例如，一个老旧的USB转串口芯片（如PL2303）的驱动，或者一个未签名的虚拟设备驱动。如果现在可以正常安装且设备管理器中没有黄色感叹号，那就是最直接的证明。

5. 高阶配置与替代方案探讨

对于有更复杂需求的用户，上述基本方案可能还不够。这里探讨一些变体和高阶用法。

5.1 启用测试模式（Testsigning）的用法

如果你是一名驱动开发者，或者你获得的驱动包提供了一个自签名证书（.cer文件），那么启用测试模式是更“规范”的做法。

1. 安装自签名证书：首先，将证书文件导入到“受信任的根证书颁发机构”和“受信任的发布者”存储区。可以双击.cer文件安装，或使用certmgr.msc。
2. 启用测试模式：

   bcdedit /set {current} testsigning on

3. 用这个证书重新签名你的驱动文件（使用SignTool工具）。
4. 重启后，桌面右下角会出现“测试模式”水印。此时系统允许加载由该证书签名的驱动。

与nointegritychecks的区别：testsigning仍然要求签名，只是放宽了对证书颁发者的要求。它更像一个“沙盒”环境，而nointegritychecks则是“免检通道”。

5.2 创建双启动项（高级）

如果你不想完全破坏主系统的安全性，可以创建一个专用的、禁用了签名检查的启动项，用于开发调试。

1. 复制当前启动项：

   bcdedit /copy {current} /d "Windows 11 (No Signature Check)"

   命令会返回一个新创建项的GUID，例如{550e8400-e29b-41d4-a716-446655440000}。
2. 为新启动项设置参数：

   bcdedit /set {新GUID} nointegritychecks on bcdedit /set {新GUID} testsigning on

3. 重启电脑，在启动菜单中选择“Windows 11 (No Signature Check)”进入系统。

这样，你的默认启动项仍然是安全的，只有在需要时才进入“免检”环境。

5.3 驱动安装后的补救措施（Driver Signature Enforcement Overrider）

这是一个古老的工具（DSEO），原理是利用系统的一个漏洞（已在新系统修复）来“欺骗”系统，让一个已经加载的未签名驱动在后续启动时被允许加载。请注意，此工具极其古老，兼容性很差，在Windows 10 1709之后版本及Windows 11上基本无效，且可能引发系统不稳定，不推荐使用。了解即可，它代表了历史上的一种“破解”思路。

6. 常见问题、故障排查与实操心得

即使按照步骤操作，你也可能会遇到各种问题。这里汇总了我踩过的坑和解决方案。

6.1 问题排查速查表

6.2 实操心得与重要提醒

1. 虚拟机是最佳试验场：如果你对操作心存疑虑，强烈建议先在VMware或Hyper-V虚拟机中演练一遍。虚拟机可以方便地做快照，操作失误一键还原。
2. “永久”是相对的：Windows重大版本更新（如从21H2升级到22H2）有时会重置BCD设置或重新启用Secure Boot。更新后如果问题复现，需要重新执行一遍设置流程。
3. 杀毒软件的反应：一些激进的安全软件（如某些企业版杀毒）可能会将修改BCD或关闭Secure Boot的行为标记为高风险甚至直接阻止。在企业环境中，你可能需要临时禁用杀毒软件或添加排除项。
4. 针对特定驱动的“豁免”：对于有签名的驱动，但签名证书过期或不被信任的情况，可以尝试手动将驱动签名证书安装到“受信任的发布者”存储区。这比完全禁用全局检查更安全。
5. 记录你的操作：养成好习惯，将你执行的命令、BIOS设置的路径截图保存下来。当未来需要恢复或排查问题时，这些记录是无价之宝。

最后，我必须再次强调，放开驱动签名检查等于为内核级代码打开了后门。请务必仅在可信的、隔离的环境中进行此操作，并时刻对你加载的驱动保持警惕。在完成必要的开发和测试工作后，最安全的做法是恢复所有设置：重新打开Secure Boot，并使用bcdedit /set {current} nointegritychecks off和testsigning off命令恢复默认安全配置。安全与便利，需要根据你的具体场景做出明智的权衡。