Windows 安装变更观测与可复现部署：从 InstallRite 到 MSIX、WinGet 与 WiX

2026 维护说明： 本文现在讨论如何合法、安全地观测 Windows 安装器变更并制作可复现部署。文末保留 2011 年 InstallRite 原文供溯源；其中的下载镜像、汉化补丁、注册信息捕获和自解压重打包说法均不是现行指导。

先划清边界：观测不等于有权再分发

InstallRite 2.5c 面向 Windows 9x/2000/XP 时代。旧文把“安装前后快照”直接变成可在别处运行的包，还把软件注册状态一并捕获；这种做法会把技术观察、软件许可和敏感数据混在一起。Ghost 的磁盘映像、安装器变更观测和应用部署也是三个不同问题，不能互相替代。

只有在你拥有软件及素材、开源许可证明确允许，或出版者书面授权时，才创建并分发新的二进制安装包。购买一份软件、能在一台机器上安装、或能观察安装变化，都不自动授予再打包、多机部署或公开分发权。本指南不是法律意见；对商业软件或跨组织分发，应让许可/法务负责人确认。

绝不要捕获或分发以下内容：许可证密钥、激活状态、会话令牌、浏览器/应用配置文件、用户文档、密码、证书私钥、设备或域身份、机器 SID、遥测标识、付费组件，以及其他用户或客户数据。若安装必须登录或在线激活，应使用出版者提供的企业部署方式或测试租户，并把转换视为可能不适用。

目标	推荐路径	权利边界
安装现成软件	出版者签名安装器、Microsoft Store 或可信包管理器	遵守原许可，不重打包二进制
自动化出版者安装器	使用出版者记录的静默参数；MSI 仅用标准 MSI 参数	清单/脚本不应嵌入密钥或绕过激活
让 WinGet 发现现有安装器	提交/维护指向出版者稳定 URL 和 SHA-256 的清单	清单通常不承载安装器，也不创造分发权
转换为 MSIX	有授权且应用兼容时，在干净虚拟机使用 MSIX Packaging Tool	转换后的有效载荷仍受原许可约束
为自有软件制作 MSI/EXE/MSIX	从源码用 WiX、MSIX/Windows SDK 或项目构建系统生成	保留依赖许可证、源码与构建来源

1. 先做接收与来源记录

在运行任何文件前，记录产品名、出版者、准确版本、架构、安装范围（用户/机器）、原始 HTTPS 下载页和版本固定的下载 URL、获取时间、许可证/EULA、支持的 Windows 版本、依赖、升级/卸载方式，以及出版者是否提供部署文档。不要从旧镜像站、论坛附件、所谓“汉化补丁”或不断变化的 latest URL 开始。

优先检查出版者签名和 SHA-256。下面的 PowerShell 仅在隔离环境里读取指定文件；把占位路径替换为已从出版者获得的安装器：

$InstallerPath = 'C:/Staging/PublisherSetup.exe'
Get-FileHash -LiteralPath $InstallerPath -Algorithm SHA256
Get-AuthenticodeSignature -LiteralPath $InstallerPath |
    Select-Object Status, StatusMessage,
        @{Name='SignerSubject';Expression={$_.SignerCertificate.Subject}},
        @{Name='SignerThumbprint';Expression={$_.SignerCertificate.Thumbprint}}

Status = Valid 还不够：签名主体必须与预期出版者一致，版本也要与发布说明对应。无签名、签名无效、哈希与出版者值不符、下载发生重定向到未知域，或防恶意软件扫描报警时，应停止，不要为了“继续打包”而关闭保护。

如果包可能已在 WinGet 中存在，先查看元数据，不要立即安装。把占位 ID 换成已核实的精确 ID：

winget show --id 'Publisher.Product' --exact --source winget

2. 使用干净、可丢弃且可回滚的环境

对正式捕获，优先使用与目标 Windows 版本、补丁级别、架构和语言一致的干净 Hyper-V/企业虚拟机，并在安装前创建命名快照。虚拟机中不要加入生产域、同步个人账户、挂载用户配置文件或放入签名密钥。每个版本都从同一个已知基线重新开始，不要在“已经很干净”的个人电脑上连续捕获多个程序。

Windows Sandbox适合快速观察，因为关闭时会丢弃内容，但它不是持久快照或完整目标环境。网络默认开启；Microsoft 明确提醒这会把不可信程序暴露到内部网络。对无需联网的安装器，可以使用 .wsb 配置关闭网络、vGPU 和剪贴板，并只读映射一个不含秘密的暂存目录：

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>Disable</Networking>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:/Packaging/Staging</HostFolder>
      <SandboxFolder>C:/Staging</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

映射目录仍扩大主机暴露面，只放安装器副本。Sandbox 关闭后证据也会消失，因此需要完整对比、重启或升级测试时用可快照虚拟机。若安装必须联网，先确认厂商域名和数据流，使用隔离网络/受控代理；不要捕获身份验证流量或为方便而接入生产网。参见 Microsoft 的 Sandbox 配置说明。

3. 建立最小、可比较的基线

在 VM 快照后创建私有证据目录并记录环境。以下清单刻意不导出整个用户配置文件或完整注册表：

$EvidenceRoot = 'C:/Observation'
New-Item -ItemType Directory -Path $EvidenceRoot -Force | Out-Null

Get-ComputerInfo |
    Select-Object WindowsProductName, WindowsVersion, OsBuildNumber, OsArchitecture |
    ConvertTo-Json |
    Set-Content -LiteralPath "$EvidenceRoot/before-system.json" -Encoding UTF8

Get-Service |
    Sort-Object Name |
    Select-Object Name, StartType, Status |
    Export-Csv -LiteralPath "$EvidenceRoot/before-services.csv" -NoTypeInformation

Get-ScheduledTask |
    Sort-Object TaskPath, TaskName |
    Select-Object TaskPath, TaskName, State |
    Export-Csv -LiteralPath "$EvidenceRoot/before-tasks.csv" -NoTypeInformation

Get-CimInstance Win32_SystemDriver |
    Sort-Object Name |
    Select-Object Name, PathName, StartMode, State |
    Export-Csv -LiteralPath "$EvidenceRoot/before-drivers.csv" -NoTypeInformation

这些 CSV 仍可能含有机器路径或产品信息，只保存在受控证据库。对于文件和注册表活动，可使用 Microsoft Sysinternals 的 Process Monitor，过滤到安装器进程树以及预期厂商/产品路径。记录 Procmon 版本、过滤器和采集窗口；原始 PML/CSV 可能包含命令行、路径、URL 或令牌，绝不能直接塞进部署包或公开工单。

4. 运行一次安装并观察，不要顺手“个性化”

暂停 VM 中无关的自动更新和后台软件，只运行一个安装器。保留安装器 UI 和所有选择的截图/文本记录，但不要输入许可证密钥、个人账户或真实客户信息。不要启动浏览器、邮件、同步盘或其他应用，以免它们的噪声进入差异。

MSI 可以用 Windows Installer 的标准日志参数进行交互式观察：

msiexec.exe /i "C:/Staging/Product.msi" /L*v "C:/Observation/install.log"

日志可能包含属性、路径或厂商提供的敏感值；存档和分享前检查并脱敏。EXE 的开关不是统一标准，只能使用出版者文档明确列出的参数，不能猜 /S、/silent 或应答文件。

只有当文件确实是 MSI、出版者允许自动部署、且无许可证属性需要注入时，才在一个全新基线上验证标准静默模式：

$Process = Start-Process -FilePath 'msiexec.exe' -ArgumentList @(
    '/i', 'C:/Staging/Product.msi',
    '/qn', '/norestart',
    '/L*v', 'C:/Observation/install-silent.log'
) -Wait -PassThru
$Process.ExitCode

非零退出码、意外重启、子安装器仍在运行、联网下载未知有效载荷，或安装要求真实激活时，应停止捕获。不要把“在这台 VM 上能启动”误当作可再分发、可静默部署或可在所有 Windows 版本运行。

5. 对比有意义的系统变化

安装完成但尚未做用户个性化时，按相同排序再次采集：

Get-Service |
    Sort-Object Name |
    Select-Object Name, StartType, Status |
    Export-Csv -LiteralPath "$EvidenceRoot/after-services.csv" -NoTypeInformation

Get-ScheduledTask |
    Sort-Object TaskPath, TaskName |
    Select-Object TaskPath, TaskName, State |
    Export-Csv -LiteralPath "$EvidenceRoot/after-tasks.csv" -NoTypeInformation

Get-CimInstance Win32_SystemDriver |
    Sort-Object Name |
    Select-Object Name, PathName, StartMode, State |
    Export-Csv -LiteralPath "$EvidenceRoot/after-drivers.csv" -NoTypeInformation

结合过滤后的事件，核对新增/修改的程序文件、DLL、注册表键、服务、驱动、计划任务、开始菜单/桌面快捷方式、文件关联、协议处理器、COM 注册、环境变量、防火墙规则、证书和卸载项。把 Windows Update、杀毒软件、日志轮转和其他基线噪声排除，而不是把所有差异都打进包。

注册表快照尤其容易包含 MRU、用户名、网络路径、应用令牌和机器身份。只保存已确认的厂商/产品键；不要导出整个 HKCU、SAM、SECURITY、浏览器凭据、DPAPI 材料或用户配置文件。若无法解释一项变化，就先回滚 VM 并缩小过滤器重新观察。

6. 根据目的选择部署产物

路径 A：保留出版者安装器，写 WinGet 清单

这是通常最小风险的自动化：清单指向出版者的版本固定 HTTPS 安装器，并记录 ID、版本、架构、安装器类型、范围、静默开关和 SHA-256。Microsoft 的 WinGet 清单规范要求 InstallerUrl 和 InstallerSha256，客户端会比对下载哈希。

winget hash "C:/Staging/PublisherSetup.exe"

哈希匹配只证明字节与清单一致，不证明安全、合法或出版者身份。使用版本固定 URL，遵守 WinGet 社区仓库政策，并在提交前用当前 schema/工具验证。私有企业清单也要限制访问；不要在 YAML 里写访问令牌、带签名的临时 URL 或许可证密钥。

路径 B：用 MSIX Packaging Tool 转换获授权的旧安装器

Microsoft 的 MSIX Packaging Tool 流程要求先理解安装器，并支持干净本机、Hyper-V VM 或准备好的远程机。每次从干净快照开始，检查工具捕获的文件/注册表、入口点和 Services report，删除明确的基线噪声，不要添加未观察到的秘密或用户状态。

MSIX 转换不是“任何软件都能无损打包”。Microsoft 的打包决策说明和已知问题指出：MSIX 不支持安装驱动；服务受目标 Windows 版本和账户/依赖限制；内核驱动、SYSTEM 服务、机器级 COM、Shell 扩展或复杂自更新器可能需要传统安装器、外部位置包或出版者重构。遇到这类组件时不要强行转换。

路径 C：从有权维护的源码构建

对自有/获授权源码，优先把部署定义纳入版本控制。WiX Toolset可以用可审查的源码生成 MSI、MSP 和引导程序；组件、升级码、依赖、条件、卸载与回滚应由构建定义明确表达，而不是从一台已使用的机器猜出来。

开源 MSIX SDK适合在自有构建管线中验证、打包或解包 MSIX；它不是从第三方安装状态自动获得许可的工具。生成物必须来自授权内容，使用固定工具版本，并能从源码和依赖锁文件重复构建。

7. 来源、SBOM 与签名

为每个产物保存：产品/包 ID、版本、架构、目标 Windows 最低版本、原始出版者 URL、原始安装器 SHA-256 和签名主体、许可证依据、构建仓库提交、构建工具/VM 镜像版本、依赖锁、构建时间、捕获过滤器、静默参数来源、升级/卸载语义和测试结果。来源记录不应含机器 SID、用户名或秘密。

对自有构建可生成 SPDX/CycloneDX SBOM；Microsoft 的开源 SBOM Tool可生成 SPDX，但自动检测结果仍需人工核对。SBOM 描述组件，不授予重新分发它们的权利，也不能代替漏洞和许可证审查。

Microsoft 要求可部署的 MSIX 具有有效且在目标设备受信任的签名，详见 MSIX 签名指南。开发自签名证书只用于受控测试；生产使用组织批准的签名服务/证书并加时间戳。私钥应留在硬件/托管密钥服务中，不复制进捕获 VM、源码仓库、PFX 命令行、日志或产物目录。签名之前完成 SBOM 和内容审查，签名之后再次校验哈希与签名。

8. 从干净状态测试完整生命周期

测试	必须验证
干净安装	标准用户/管理员范围、架构、依赖、退出码、重启行为、签名
静默安装	仅用文档化参数；无 UI、无挂起子进程、日志已脱敏
升级	从每个受支持旧版本升级；保留允许的用户数据，不保留秘密快照
卸载	文件、注册表、服务、任务、快捷方式和防火墙项按设计清理
修复/回滚	安装中断、磁盘不足、拒绝提权和取消时恢复到明确状态
环境矩阵	支持的 Windows 构建、x64/Arm64、语言、在线/离线、域策略
应用行为	首次启动、文件关联、协议、更新、锁定/重启以及核心工作流

每个测试都从命名快照恢复，而不是在上一个测试的残留上继续。付费软件只使用获授权的测试席位。比较安装前后证据，检查 Defender/SmartScreen、事件日志和安装器日志；不要通过关闭安全产品来让测试“通过”。

先在隔离测试组部署，再分阶段扩大。保留原始签名安装器、上一版部署定义、卸载/恢复流程和兼容性判定。若卸载不完整、升级损坏数据、签名不可信或差异中出现不明账户/机器状态，停止发布，撤回到上一版并从干净快照重做。

何时应放弃捕获式转换

遇到内核驱动、启动期组件、复杂 SYSTEM 服务、外部服务依赖、机器级 COM/Shell 集成、自保护/反作弊、硬件绑定、付费激活、用户配置迁移、内置更新器强耦合，或安装时动态下载不可固定有效载荷时，捕获包通常不合适。使用出版者原安装器与企业部署文档，或请出版者提供 MSI/MSIX/离线布局；自有软件则从源码修正安装设计。

“差异看起来完整”和“自解压包能运行”都不是正确性证据。可维护的部署必须有明确权利、固定输入、可审查定义、受信任签名、完整生命周期测试和可执行回滚。

官方与项目资料

• Microsoft：Windows Sandbox
• Microsoft：使用 `.wsb` 配置 Sandbox
• Microsoft：MSIX Packaging Tool 转换流程
• Microsoft：Windows 应用打包决策
• Microsoft：MSIX Packaging Tool 已知问题
• Microsoft：MSIX 签名
• Microsoft Sysinternals：Process Monitor
• Microsoft WinGet：安装器清单规范
• WiX Toolset 官方文档
• Microsoft 开源 MSIX SDK
• Microsoft 开源 SBOM Tool

历史原文存档（请勿执行）

以下是 2011 年源导出的完整可见正文，仅规范化行尾空白。七个唯一的失效/不安全 HTTP 目标已作窄范围替换：五个图片地址统一替换为 [REDACTED: dead insecure image URL]，InstallRite 镜像替换为 [REDACTED: dead insecure InstallRite download URL]，汉化补丁镜像替换为 [REDACTED: dead insecure localization-patch URL]；同一 URL 的所有出现处均替换，除此之外未改写正文。存档包含捕获软件注册状态和重打包付费软件的过时示例，仅作历史证据。

InstallRite：Ghost做不到的我来做

如果要备份系统，大多数人第一个想到的就是Ghost，可是Ghost仅仅能够备份某个分区，如果只要备份某个软件，我们又该怎么办呢？

很多软件在安装时除了在安装文件夹内拷入相关的程序文件外，还会在Windows的安装文件夹或Windows＼System系统文件装入一些.dll的链接库，有的还会在注册表或其地文件夹内写入信息，这样当你只是拷贝软件安装文件夹的方法来备份某个软件是没有用的，但是如果你使用InstallRite来备份软件那么就不存在这些问题了。

Table of Contents

Toggle

- [初识InstallRite](https://blog.lazying.art/en/html/computer_internet/software/443/installrite%ef%bc%9aghost%e5%81%9a%e4%b8%8d%e5%88%b0%e7%9a%84%e6%88%91%e6%9d%a5%e5%81%9a.html/#%E5%88%9D%E8%AF%86InstallRite)
- [InstallRite制作范例](https://blog.lazying.art/en/html/computer_internet/software/443/installrite%ef%bc%9aghost%e5%81%9a%e4%b8%8d%e5%88%b0%e7%9a%84%e6%88%91%e6%9d%a5%e5%81%9a.html/#InstallRite%E5%88%B6%E4%BD%9C%E8%8C%83%E4%BE%8B)

## 初识InstallRite

![]([REDACTED: dead insecure image URL])

InstallRite小档案

软件版本：2.5c 软件大小：4993KB

软件性质：免费软件 适用平台：Windows 9x/2000/XP

下载地址：[[REDACTED: dead insecure InstallRite download URL]]([REDACTED: dead insecure InstallRite download URL])

汉化补丁：[[REDACTED: dead insecure localization-patch URL]]([REDACTED: dead insecure localization-patch URL])
 软件安装之后，每当要安装新的应用程序时，通过它的安装监视功能，就可以将所有软件的安装资料储存起来，这些信息包括系统设置、使用者设置、软件的默认值及软件的注册信息等等。然后软件将所生成的安装映像文件用可执行文件的方式存储，你可以将这个映像文件储存在本地硬盘、光盘或者是服务器上，以后在本机或其他电脑上直接运行镜像文件就可以完成相应软件的安装、设置、注册等操作。怎么样，听完介绍是不是很想试试它呢？

## InstallRite制作范例

为了更好地说明InstallRite的使用和功能，下面我们以IT写作者最常用的抓图工具“SnagIt 6.2.0汉化版”的安装为例来说明。

第一步：

运行InstallRite，在主界面中选择“安装新的软件并且创建一个安装包”，在弹出的“配置在执行安装时如何进行‘监视’”窗口中点击“配置”按钮，然后在弹出的窗口中设置监视的磁盘、注册表、扩展名等，高级用户可以根据需要修改这些设置以捕获更多附加的信息,对于大多数用户来说，使用默认设置即可。

第二步：

单击“下一步”，InstallRite提示我们要跟踪一个软件的安装进程，必须在跟踪之前创建一个系统的快照。InstallRite的系统快照包含当前系统所处状态的信息，并且在随后的安装向导处理过程中根据快照来找到安装程序造成的所有改变，所以我们必须要为系统做一个快照。

单击“下一步”，InstallRite会自动建立快照。

第三步：

在建立完快照后弹出的窗口中，InstallRite就会要求提供安装软件的程序文件名称，在“要运行的安装程序”项下的文本框中直接填入路径及文件名，或点击其后面的按钮进行选择，设置完成后点击“下一步”。

![]([REDACTED: dead insecure image URL])

第四步：

这时InstallRite开始自动打开“SnagIt 6.2.0”的安装程序进行安装，如同平时我们单独安装“SnagIt 6.2.0″一样安装完英文版程序。

由于我们还没有安装“SnagIt 6.2.0汉化程序”及软件的注册和设置，所以在返回的InstallRite安装向导窗口中点击“请稍候….我仍未完成”并在弹出的选项中选择等待的时间，这时InstallRite会在任务托盘中静候我们的调遣。

![]([REDACTED: dead insecure image URL])

第五步：

关闭正在运行的SnagIt 6.2.0，运行汉化程序后打开SnagIt 6.2.0，进行软件注册及抓取图像的相关设置，设置完成后退出。

第六步：

点击任务栏中InstallRite的图标返回向导窗口，这时InstallRite会重新扫描系统磁盘、注册表等相关设置选项。

扫描结束后弹出“你要安装的软件的名称？”的对话框让我们输入创建安装包的名称，点击“确定”按钮。

第七步：

在“安装完成”窗口中单击“构建安装包”，选择安装包存放的路径，添入文件名，点击“保存”，然后在“选项”窗口中选择安装选项，如果你制作的安装包需要重新启动系统的话也可以在这里设定。

确定后，InstallRite一会儿就可生成包含软件运行程序、设置参数、注册信息等等数据的全新的“SnagIt 6.2.0汉化版”安装程序包。

以后再需要安装“SnagIt 6.2.0汉化版”时，只需运行安装包立刻就能把SnagIt 6.2.0安装、汉化、注册、设置完成。

![]([REDACTED: dead insecure image URL])

用InstallRite生成的安装包要较软件的程序大一些，至于大多少可能因软件的不同而不同；

在制作安装包时，除了必要的运行程序外，最好不要运行其他的应用程序，防止在安装包中增加无用的文件及信息。

![]([REDACTED: dead insecure image URL])

InstallRite的特色除了前面提到的外，还有另外一点，就是用它制作的安装包，在安装时，速度明显要比直接安装快得多。但软件也有一个不好的地方，就是你无法改变软件的安装目录等设置，一切都是以前设置好的，多少有一些不方便。