windows 10默认拒绝加载未whql认证的自研.sys驱动，因dse与code integrity共同拦截；临时绕过可用高级启动禁用驱动签名（f7单次有效），永久方案包括启用测试模式（bcdedit /set testsigning on）、组策略设为“忽略”或关闭secure boot并配合bcdedit命令。
Windows 10 默认拒绝加载未经 WHQL 认证的自研 .sys 驱动，哪怕已用私钥签名，系统仍会报错“代码 52”或“无法验证发布者”，这是因为内核级驱动签名强制（DSE）和 Code Integrity 子系统共同拦截了未进入微软信任链的二进制文件。
临时绕过：高级启动禁用驱动签名（单次有效）
这是最快速、零风险的验证方式，适用于调试阶段反复编译→加载→测试的闭环流程。
1、点击【开始】→按住左下角 Shift 键不放 →点击【电源】→【重启】；
2、蓝屏界面依次选择：【疑难解答】→【高级选项】→【启动设置】→【重启】；
3、重启后出现编号菜单，直接按 F7 键（部分机型需按数字键 7），触发“禁用驱动程序强制签名”；
4、进入桌面后，以管理员身份运行命令提示符，执行：sc create MyDrv binPath= C:\dev\mydrv.sys type= kernel start= demand → sc start MyDrv；
这一步必须在禁用签名模式下完成，否则 sc start 会返回 ERROR_INVALID_IMAGE_HASH (0xC0000428)；若弹出签名警告窗口，勾选“始终安装此驱动程序软件”再点确定。
永久启用测试模式（带水印，长期可用）
适合开发环境固定、无需隐藏水印的场景，比如工控机、测试服务器或个人开发机。
方法一：基础测试模式
1、右键【开始】→【Windows PowerShell（管理员）】；
2、执行：bcdedit /set testsigning on，回车后确认显示“操作成功完成”；
3、执行：shutdown /r /t 0 立即重启；
4、登录后检查桌面右下角是否出现 【Test Mode】 水印——没有则说明未生效，需重做步骤2并确认无拼写错误；
方法二：增强兼容性（推荐搭配使用）
在方法一执行完、重启前，追加执行：bcdedit /set nointegritychecks on；
这能绕过部分 Windows 10 v1903+ 引入的额外完整性校验，避免老式驱动因 SHA-1 时间戳或无 RFC 3161 时间戳而被拒；执行后同样需重启。
组策略设为“忽略”（专业版/企业版专属）
该策略让系统在驱动安装时彻底跳过签名判断逻辑，既不弹窗也不记录事件，但仅对后续新安装行为生效，已加载的驱动不受影响。
第一步：打开组策略编辑器
按 Win + R → 输入 gpedit.msc → 回车；
第二步：定位策略路径
依次展开：【计算机配置】→【管理模板】→【系统】→【驱动程序安装】；
第三步：修改代码签名策略
双击右侧【设备驱动程序的代码签名】→ 勾选【已启用】→ 下拉选择【忽略】→ 【确定】；
第四步：使策略立即部分生效
无需重启，但必须注销当前用户再重新登录，否则策略不触发；验证方式：打开设备管理器 → 右键任意设备 → 【更新驱动程序】→ 【浏览我的电脑以查找驱动程序】→ 指向含未签名 .sys 的文件夹 → 点击下一步，应无任何签名警告直接安装。
BIOS 层配合：关闭 Secure Boot（必要前提）
如果前面三种方法都失败，大概率是 UEFI 安全启动仍在后台拦截——尤其在预装 Win10/Win11 的品牌机上，Secure Boot 是默认开启且隐藏较深的硬性关卡。
1、重启电脑，根据主板品牌反复按对应热键（常见：F2、F10、Del、Esc）进入 BIOS/UEFI 设置界面；
2、找到【Boot】或【Security】选项卡，寻找 Secure Boot 选项；
3、将其设为 Disabled（不是“Setup Mode”或“User Mode”）；
4、按 F10 保存退出，系统自动重启；
注意：关闭 Secure Boot 后，必须同步执行 bcdedit 命令（如 testsigning on），否则即使 BIOS 关闭，Windows 内核仍会基于残留策略拒绝加载；部分 HP/Dell 机型还需在 BIOS 中关闭 “Fast Boot” 才能正确识别 Secure Boot 状态变更。
加载前最后检查项
你的 .sys 文件必须满足最低结构要求，否则即使签名绕过也会加载失败：
• 使用 Visual Studio 2019 或更高版本编译，目标平台为 x64（Win10 64位不支持纯32位内核驱动）；
• 链接时必须包含 /driver 参数，并确保入口函数为 DriverEntry；
• PE 头中 IMAGE_DIRECTORY_ENTRY_SECURITY 目录可为空，但不能缺失——用 dumpbin /headers mydrv.sys 查看，若提示“no signature present”属正常，若报“invalid header”则编译失败；
• 驱动 INF 文件中 [Version] 段必须含 DriverVer=10/20/2026,1.0.0.0 格式时间戳，且日期不能早于系统当前日期（否则会被 CI 子系统判定为篡改）。
