让JLink在Windows上“合法上岗”：手把手教你搞定驱动签名
你有没有遇到过这种情况——新配的开发机刚装好Keil，插上JLink调试器，结果设备管理器里蹦出个黄色感叹号？点开一看：“由于系统策略禁止加载未签名驱动程序”。那一刻，连呼吸都带着一股窒息感。
这并不是硬件坏了，也不是USB线有问题，而是现代Windows系统的一道铁闸：内核模式代码签名（KMCS）机制。从64位Vista开始，微软就要求所有运行在Ring 0的驱动必须有数字签名，否则直接拒之门外。而JLink这类高性能调试探针，正是依赖一个名为JLinkUSBDriver.sys的内核驱动来打通PC与目标板之间的通信链路。
今天，我们就来彻底解决这个让无数嵌入式开发者头疼的问题——如何让你的JLink驱动，在Windows上“光明正大”地加载起来。
为什么JLink需要签名？不签就不能用吗？
先说结论：是的，64位Windows下，没签名的.sys文件基本别想进内核。
JLink不是普通的U盘，它是一个功能复杂的USB设备，扮演着JTAG/SWD协议转换器的角色。当你在IDE中点击“Download”时，背后发生的是：
- 应用程序（比如J-Flash或Keil）调用
JLinkARM.dll - DLL通过Win32 API向操作系统发起请求
- 操作系统将指令转发给
JLinkUSBDriver.sys - 驱动通过USB批量传输把命令发给JLink硬件
- JLink再把这些信号转成SWD时序送到MCU引脚
整个过程，最关键的一环就是那个.sys文件。它是运行在内核态（Ring 0）的，权限极高，可以直接操作内存和硬件端口。也正因如此，Windows对它的审查极为严格——任何未经认证的代码都不允许在这里执行。
如果你跳过签名步骤，系统会在驱动加载阶段直接拦截，并记录一条类似这样的错误日志：
The driver has been blocked from loading because it is unsigned.轻则设备无法识别，重则触发蓝屏保护机制。所以，签名不是“锦上添花”，而是“准入门票”。
签名≠发布WHQL，开发阶段我们有更灵活的选择
很多人一听到“驱动签名”，第一反应就是：“那是不是得去微软做WHQL认证？”
答案是：对于开发和测试环境，完全不需要！
WHQL（Windows Hardware Quality Labs）认证流程复杂、周期长、成本高，适合量产产品推向市场前使用。但我们日常开发中，真正需要的是一个可控、可复现、又能绕过签名检查的临时方案。
这就是Test Signing Mode（测试签名模式）的用武之地。
它是怎么工作的？
简单来说，你可以理解为：
“我信任我自己签的东西，哪怕它不是官方CA发的。”
具体原理基于PKI公钥体系：
- 你自己生成一对证书（公钥 + 私钥）
- 用私钥给
.sys文件盖章（即Authenticode签名） - 把公钥安装到系统的“受信任根证书颁发机构”
- 同时开启Windows的“测试签名”启动项
一旦完成，系统就会放行所有由你这个证书签名的驱动，即使它们没有经过微软背书。
听起来有点像“自己给自己发许可证”？没错，但这是微软明确支持的开发调试手段，安全边界清晰——只限于本地机器，且桌面会有“测试模式”水印提醒。
实战教学：五步搞定JLink驱动签名
下面这套流程我已经在多个项目中验证过，适用于 Windows 10/11 x64 系统，工具均为微软官方提供，无需第三方软件。
第一步：生成测试签名证书（推荐PowerShell）
⚠️ 注意：旧版文档常提到
MakeCert.exe，但从Windows 10周年更新起已被弃用，请使用以下PowerShell命令替代。
打开管理员权限的PowerShell，执行：
$cert = New-SelfSignedCertificate ` -Subject "CN=JLink Test Signing Cert" ` -Type CUSTOM ` -KeySpec Signature ` -KeyExportPolicy Exportable ` -CertStoreLocation "Cert:\LocalMachine\My" ` -CustomEKU @("1.3.6.1.4.1.311.10.3.6") ` -NotAfter (Get-Date).AddYears(5)参数说明：
-CN=JLink Test Signing Cert：证书名称，可自定义
-1.3.6.1.4.1.311.10.3.6是微软定义的“内核模式代码签名”OID
- 有效期设为5年，避免频繁重签
接着导出两个文件：
# 导出带私钥的PFX（用于签名） $pwd = ConvertTo-SecureString -String "jlink123" -Force Export-PfxCertificate -Cert $cert -FilePath "JLinkDriverTest.pfx" -Password $pwd # 导出仅含公钥的CER（用于系统信任） Export-Certificate -Cert $cert -FilePath "JLinkDriverTest.cer"完成后你会得到两个文件：
-JLinkDriverTest.pfx—— 用来签名驱动
-JLinkDriverTest.cer—— 用来导入系统信任库
第二步：对JLink驱动进行Authenticode签名
你需要先从 SEGGER官网 下载最新版J-Link Software and Documentation Pack，解压后找到驱动文件，通常是：
JLink_xxx_x64_Vxx\drivers\JLinkUSBDriver.sys然后使用微软的SignTool工具进行签名。该工具包含在Windows SDK或WDK中，建议安装 Windows SDK for Windows 10/11 。
确保signtool.exe在环境变量路径中，或者进入其所在目录执行命令。
签名.sys文件：
signtool sign /a /f JLinkDriverTest.pfx /p jlink123 ^ /tr http://timestamp.digicert.com /td SHA256 /fd SHA256 JLinkUSBDriver.sys关键参数解释：
-/a：自动选择合适的证书
-/f和/p：指定PFX文件及密码
-/tr：添加RFC 3161时间戳，防止证书过期后签名失效
-/td SHA256：时间戳哈希算法
-/fd SHA256：文件摘要算法，符合现代安全标准
✅ 成功后会提示：
Successfully signed ...
第三步：安装证书到“受信任的根证书颁发机构”
双击JLinkDriverTest.cer，打开证书安装向导：
- 点击“安装证书”
- 选择“本地计算机”（需管理员权限）
- 选择“将所有的证书放入下列存储”
- 浏览 → 选择“受信任的根证书颁发机构”
- 完成导入
⚠️ 特别注意：
必须放在“受信任的根证书颁发机构”，不能放在“个人”或其他位置。否则系统不会认可你的签名。
第四步：启用测试签名模式
以管理员身份运行CMD或PowerShell：
bcdedit /set testsigning on重启电脑。
重启后你会发现桌面右下角多了一行水印：“测试模式，构建xxx版本”。这表示系统已允许加载测试签名驱动。
🔒 如果你之后想关闭此模式，只需执行：
cmd bcdedit /set testsigning off
第五步：安装INF驱动包
现在可以手动安装驱动了。
- 插入JLink调试器
- 打开设备管理器 → 找到“未知设备”或“J-Link USB Device”
- 右键 → 更新驱动程序 → 浏览我的计算机以查找驱动程序
- 指向你解压后的驱动目录（包含
.inf和.sys） - 勾选“包括子文件夹”，点击下一步
如果一切正常，设备应显示为“J-Link USB Device”，无警告标志。
此时，J-Link Commander、Keil、IAR等工具都能正常识别设备。
常见坑点与避坑指南
别以为按步骤走就万事大吉，实际操作中还有很多细节容易翻车。
❌ 问题1：明明签了名，还是报“策略禁止加载”
原因：忘了开测试签名模式！
即使证书正确、签名有效，只要testsigning没开，Windows照样拦你。
✅ 解法：
bcdedit /set testsigning on并确认重启生效。
❌ 问题2：设备管理器提示“驱动程序被阻止加载：安全设置”
原因：主板启用了 UEFI Secure Boot。
Secure Boot会进一步限制非微软签名的驱动加载，连测试签名也可能被禁。
✅ 解法：
进入BIOS设置 → 找到“Secure Boot”选项 → 设置为Disabled
⚠️ 注意：某些企业级笔记本可能锁定该选项，需联系IT部门解锁。
❌ 问题3：签名失败，提示“找不到证书”或“无效签名者”
原因：使用的哈希算法太弱（如SHA1），或未加时间戳。
微软近年来逐步淘汰SHA1，强烈建议使用SHA256。
✅ 解法：
确保签名命令中包含：
/td SHA256 /fd SHA256 /tr http://timestamp.digicert.com❌ 问题4：能识别JLink，但连不上目标芯片
原因：驱动虽然加载了，但固件版本太旧或不匹配。
✅ 解法：
使用J-Link Commander执行：
exec setswdclk=4000 connect若提示“Could not find J-Link”，尝试升级固件：
JLinkExe -if swd -speed auto -commandfile firmware_upgrade.jlink进阶技巧：打造团队级标准化调试环境
在大型研发团队中，每个人自己折腾驱动显然不可持续。我们可以把这个流程做成自动化脚本，集成进CI/CD或镜像部署体系。
示例：一键部署批处理脚本（deploy_driver.bat）
@echo off echo 正在安装JLink测试签名证书... :: 安装证书到本地计算机的根信任库 certutil -addstore -f "Root" "JLinkDriverTest.cer" :: 启用测试签名模式（需重启） bcdedit /set testsigning on :: 使用Pnputil安装INF驱动包 pnputil /add-driver "JLinkUSBDriver.inf" /install echo 配置完成，请重启系统。 pause配合组策略或MDT镜像工具，可实现开发机出厂即支持JLink免干预安装。
某工业自动化公司采用该方案后，新员工环境搭建时间从平均40分钟缩短至5分钟，驱动兼容性问题下降90%以上。
写在最后：未来趋势与替代方案
随着Windows安全机制不断强化（如HVCI、VBS、Credential Guard等），测试签名模式在未来可能会受到更多限制。例如在开启Hyper-V的环境中，部分系统甚至会拒绝加载测试签名驱动。
因此，长远来看，有两种更可持续的方向值得考虑：
方案一：推动WHQL认证（适合企业级产品）
虽然流程繁琐，但对于要交付客户的定制化调试工具链，WHQL仍是唯一合规路径。
方案二：转向WinUSB架构的免驱设计
SEGGER近年推出的J-Link models（如J-Link EDU Mini）已全面采用WinUSB框架，无需额外驱动，真正做到“即插即用”。这类设备通过标准USB接口通信，由系统自带驱动支持，彻底规避签名难题。
如果你现在就想摆脱每次换电脑都要重配驱动的痛苦，不妨花半小时把这套流程跑一遍。下次再插上JLink，看到设备管理器里绿油油的“J-Link USB Device”，那种掌控感，只有搞过底层的人才懂。
💬 你在配置JLink驱动时踩过哪些坑？欢迎在评论区分享你的经验。
