64 位元 Windows 8.1 強制核心驅動簽章，導致大量舊硬體/測試/自簽名驅動無法安裝。本文對比兩種禁用方案：**一次性啟動設定 F7 (推薦、安全)** 與 **永久 bcdedit 關閉 (高風險、不建議生產環境)**，並實測驗證 `testsigning on` 失效、組態原則失效、測試模式水印等坑點。
方案一：一次性禁用 (啟動設定 F7) ⭐ 推薦生產環境
- 進入啟動設定 (參考文章 82605 詳細流程)：`shutdown /r /o /f /t 00` → 疑難排解 → 進階選項 → 啟動設定 → 重新啟動。
- 啟動設定清單按 7 或 F7 → 「禁用驅動程式強制簽章」。
- 系統啟動 → 安裝目標無簽章驅動 → **完成後重開機自動恢復強制簽章保護**。
**優點**：不修改系統配置、重開機即恢復、無水印、不影響 BitLocker/安全啟動/核心完整性。
**缺點**：每次安裝新無簽章驅動需重複操作。
方案二：永久關閉 (bcdedit) ⚠ 高風險，僅限測試/開發隔離環境
# 管理員命令提示字元 / PowerShell
bcdedit.exe /set nointegritychecks on
# 或舊組合
bcdedit.exe /set loadoptions DDISABLE_INTEGRITY_CHECKS
bcdedit.exe /set testsigning on
重開機生效。若系統已啟用，**右下角會出現「測試模式」水印** (Build 版本號)。
實測驗證：常見錯誤方案均失效
| 方案 | 測試結果 | 說明 |
|---|
| 組態原則「忽略無簽章驅動」 | ❌ 失效 | Win8+ x64 已移除此回退 |
| `bcdedit /set testsigning on` (單獨) | ❌ 失效 | 僅允許測試簽章驅動，**不允許完全無簽章**；且出現水印 |
| 按 F8/Shift+F8 進入啟動選單 | ❌ 失效 | Win8+ 快速啟動機制極難觸發 F8 選單 |
核心風險警示
- **永久關閉 = 關閉核心模式程式碼完整性 (KMCI)**，Rootkit/惡意驅動可自由載入，繞過 WDAC/HVCI/VBS 等現代防護。
- **BitLocker 可能要求輸入恢復金鑰** (安全啟動鏈中斷)。
- **企業環境違反合規基線** (如 Windows 硬體兼容性計畫、安全基線)。
最佳實踐路徑圖
- **優先尋找 WHQL 簽章驅動** (廠商官網/Windows Update)。
- **無官方簽章** → 使用 **一次性 F7 法** 安裝 → 立即重開機恢復保護。
- **開發/測試自簽章驅動** → 申請 **EV 代碼簽章憑證** 或使用 **WDK 測試簽章流程** (安裝測試根憑證至 Trusted Root CA)。
- **企業部署無簽章驅動** → 編寫 **WDAC 原則** 授權特定檔案雜湊/簽章者，透過 Intune/Group Policy 部署，精準放行不降低整體安全性。
