URLDownloadToFile vs URLDownloadToCacheFile：下載 API 選型與防毒誤報規避實戰

Windows URLMon API 深度對比：為何換用 Cache 版本能解決殺毒誤報？

開發自動更新、資源下載功能時，`URLDownloadToFile` 是最常用的高階 API，但因被大量惡意下載器濫用，極易觸發瑞星、卡巴斯基等殺毒引擎的啟發式誤報。本文分析兩者差異，並提供替換方案實測有效規避誤殺。

API 簽名對比

核心行為差異

• URLDownloadToFile：直接將檔案下載到指定完整路徑。行為明確、可控，但極具「下載器」特徵，病毒特徵庫高度關注。
• URLDownloadToCacheFile：自動下載到 IE 快取目錄 (如 `C:\Users\xxx\AppData\Local\Microsoft\Windows\INetCache\...`)，函式返回時 `szFileName` 緩衝區填入實際快取檔案完整路徑。後續需自行 `CopyFile`/`MoveFile` 到目標位置。

為何 Cache 版能避開誤報？

1. 合法性背書： IE/Edge/Windows Update/各類合法應用大量調用此 API 獲取網路資源，屬於「高信任度白名單行為」。
2. 路徑隨機性： 快取路徑含隨機子目錄，難以被靜態特徵匹配。
3. 行為鏈差異： 「下載到快取 → 應用層複製/執行」較「直接下載到任意路徑」更符合正常軟體行為模型。

替換實作範例 (C/C++ / Delphi / VB 通用邏輯)

// 1. 分配足夠大緩衝區 (MAX_PATH = 260，建議 1024)
TCHAR szCachePath[1024];
DWORD dwBufLen = 1024;

// 2. 呼叫 Cache 版 API
HRESULT hr = URLDownloadToCacheFile(
    NULL,           // pCaller
    "https://example.com/update.zip", // szURL
    szCachePath,    // szFileName (輸出快取路徑)
    dwBufLen,       // dwBufLength
    0,              // dwReserved
    NULL            // pBSC (簡易用法可為 NULL)
);

if (SUCCEEDED(hr)) {
    // 3. 取得實際下載好的快取檔案路徑 (szCachePath)
    // 4. 複製/移動/執行目標操作
    CopyFile(szCachePath, L"C:\\MyApp\\update.zip", FALSE);
    // 或 ShellExecute 執行安裝包
}

實測驗證

將原專案中 `URLDownloadToFile` 替換為 `URLDownloadToCacheFile` + `CopyFile` 後重新編譯，提交 VirusTotal 掃描，原本被瑞星等 3-5 引擎誤報為 `Trojan.Downloader` 的樣本，**誤報數歸零**，正常功能完全保留。

注意事項與最佳實踐

• 快取檔案屬臨時檔，系統清理工具可能刪除，**務必在使用後立即複製/移動到持久目錄**。
• 大檔案下載建議實作 `IBindStatusCallback` 介面顯示進度條，兩個 API 均支援。
• HTTPS 下載需確保系統根憑證更新，或在回調中處理 `BINDSTATUS_VERIFIEDMIMETYPE` 等狀態。
• 若需支援斷點續傳、限速、多執行緒，建議改用 WinHTTP / WinINet / libcurl 等底層庫，完全掌控行為細節。