1. 项目概述：当Win10遇上libusb-win32

如果你正在捣鼓一些USB设备，比如自己做的单片机开发板、一些老旧的工业数据采集卡，或者想用电脑直接和某个USB硬件“对话”，那你大概率绕不开一个叫libusb的库。它是一个跨平台的用户态USB设备访问库，让你不用写复杂的内核驱动，就能用高级语言（比如C/C++、Python）直接读写USB设备。在Windows上，为了让libusb能正常工作，我们需要一个桥梁——这就是libusb-win32。它的核心是一个叫做libusb0.sys的驱动程序，负责在用户程序和USB硬件之间建立安全的通信通道。

听起来很简单，不就是装个驱动吗？但实际操作过的人都知道，在Windows 10上安装libusb-win32，尤其是想用它来驱动一个自己指定的设备时，简直像在闯一个充满陷阱的关卡。问题很少出在安装程序本身，而几乎总是集中在最后一步：驱动签名认证。系统会弹出一个经典的错误：“Windows 无法验证此设备所需的驱动程序的数字签名”。这个提示背后，是微软从Windows Vista开始引入并不断强化的驱动程序强制签名策略，旨在提升系统安全性，防止恶意软件通过驱动级权限作恶。但对于我们这些正经的开发者、硬件爱好者来说，它就成了横在面前的拦路虎。

这篇文章，就是基于我无数次在Win10（包括最新的22H2版本）上部署libusb-win32环境的实战经验，为你梳理出一条清晰、可复现的路径。我会详细拆解从获取文件、安装驱动，到最终解决签名问题的每一个步骤，并重点分享那些官方文档不会写，但能让你少走几小时弯路的“坑”和技巧。无论你是嵌入式新手，还是需要调试USB协议的老手，这篇指南都能帮你把环境稳稳地搭起来。

2. 核心问题拆解：为什么签名是最大的“坎”

在深入实操之前，我们必须先理解问题的根源。这能帮助你在遇到不同错误提示时，快速定位方向，而不是盲目尝试。

2.1 驱动签名强制策略的演变

微软的驱动签名要求并非一成不变。对于libusb-win32这类未通过微软WHQL（Windows Hardware Quality Labs）认证的“第三方”或“自制”驱动，我们的操作策略取决于Windows的启动设置：

1. 禁用驱动程序强制签名（临时）：这是最常见、最快速的临时解决方案。通过在高级启动选项中禁用签名强制，系统在本次启动期间将允许安装未经数字签名的驱动。但注意：这只是临时生效，下次正常重启电脑后，设置会恢复，之前安装的未签名驱动将无法加载，设备管理器里该设备通常会显示一个黄色的感叹号，错误代码52。
2. 启用测试模式（半永久）：这是比方法1更持久的方案。通过以管理员权限在命令行执行bcdedit /set testsigning on并重启，系统桌面右下角会出现“测试模式”水印。在此模式下，系统允许加载未签名的测试用驱动程序。这对于开发调试阶段非常方便。关闭命令是bcdedit /set testsigning off。
3. 自签名证书（永久/本地有效）：这是最规范、最接近“一劳永逸”的解决方案。原理是自己创建一个根证书，用它为驱动文件（.cat和.sys）进行签名，然后将该根证书安装到系统的“受信任的根证书颁发机构”存储中。这样，系统就会认为这个驱动是受“信任机构”签发的，从而允许加载。这个方法的好处是，驱动在本地计算机上永久有效，且不会出现测试模式水印。缺点是步骤稍多，且证书仅在本机有效。

对于绝大多数个人开发者和爱好者，我们的目标通常是在不永久关闭系统安全功能的前提下，找到一个稳定可靠的驱动加载方法。因此，方法3（自签名）是本文推荐的核心解决方案。

2.2 libusb-win32 驱动安装器的局限性

libusb-win32项目提供了一个图形化的安装工具inf-wizard.exe。它的设计初衷是简化流程：选择设备 -> 生成.inf文件 -> 安装驱动。但在Win10的高版本（如1809之后）上，这个向导经常在最后一步“安装驱动包”时失败，原因正是它无法处理系统的签名强制检查。它生成的.inf文件引用的libusb0.sys文件本身是没有经过签名的。

因此，我们的核心思路是：利用inf-wizard.exe生成必要的.inf设备安装配置文件，但绕过其自带的安装逻辑，转而使用更底层的Windows驱动安装工具，并配合自签名证书流程，手动完成签名和安装。

3. 详细实操步骤：从零到一完成驱动部署

下面，我将以连接一个USB转串口芯片（例如CP2102）的开发板为例，展示完整的操作流程。请准备好你的USB设备。

3.1 准备工作：获取必要文件与工具

1. 下载 libusb-win32：

   • 访问libusb-win32在 SourceForge 的页面（例如sourceforge.net/projects/libusb-win32/files/），下载最新稳定版的二进制包，如libusb-win32-bin-1.2.6.0.zip。
   • 解压到任意目录，例如D:\Tools\libusb-win32-bin-1.2.6.0。我们会用到其中的bin目录（含inf-wizard.exe）和libusb0.sys文件。

2. 准备签名工具（Windows SDK 或 WDK）：

   • 我们需要makecert.exe,cert2spc.exe,signtool.exe,pvk2pfx.exe等工具。最简单的方式是安装Windows SDK。
   • 前往微软官网，下载并安装 Windows SDK。在安装时，务必勾选“Windows 软件开发工具包”中的“Windows 签名工具”。
   • 安装后，这些工具通常位于C:\Program Files (x86)\Windows Kits\10\bin\<版本号>\x64或x86目录下。为了方便，建议将此目录路径（例如C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64）添加到系统的PATH环境变量中，或者后续在命令行中指定完整路径。

3.2 步骤一：生成设备专用的INF文件

1. 将你的USB设备插入电脑。
2. 以管理员身份运行inf-wizard.exe。
3. 在设备列表中选择你的目标设备（例如Silicon Labs CP210x USB to UART Bridge），点击“下一步”。
4. 在保存页面，选择一个合适的目录（例如在libusb-win32目录下新建一个my_device文件夹），填写设备名称，然后点击“保存”。向导会生成两个文件：libusb0.inf和libusb0.sys。

   注意：这里生成的libusb0.sys和原始包里的libusb0.sys通常是同一个文件，你可以直接使用原始包里的那个，确保版本一致即可。

3.3 步骤二：创建自签名证书并为驱动签名

这是最关键的一步。我们将在命令行（以管理员身份运行）中完成。

1. 创建私钥和自签名根证书：

   makecert -r -pe -n "CN=MyLibUSB Root CA" -ss CA -sr CurrentUser -a sha256 -cy authority -sky signature -sv MyLibUSB.pvk MyLibUSB.cer

   • -r：创建自签名证书。
   • -n "CN=..."：证书主题名称，可以自定义。
   • -ss CA -sr CurrentUser：将证书存储在当前用户的“CA”存储区。
   • 执行后会提示你设置私钥密码，请务必记住。

2. 将证书转换为SPC格式（可选，但signtool可能需要）：

   cert2spc MyLibUSB.cer MyLibUSB.spc

3. 创建PFX格式证书文件：

   pvk2pfx -pvk MyLibUSB.pvk -spc MyLibUSB.spc -pfx MyLibUSB.pfx -po <你上面设置的私钥密码>

4. 为驱动文件(.sys)和目录文件(.cat)签名：

   • 首先，需要生成一个目录文件。在存放libusb0.inf的目录下，以管理员身份打开命令行，执行：

     inf2cat /driver:. /os:10_X64

     这会根据libusb0.inf生成一个libusb0.cat文件。/os:参数指定目标操作系统，请根据你的系统选择（如10_X64,10_X86,11_X64等）。
   • 使用signtool为.cat和.sys文件签名：

     signtool sign /v /fd sha256 /f MyLibUSB.pfx /p <你的私钥密码> libusb0.cat signtool sign /v /fd sha256 /f MyLibUSB.pfx /p <你的私钥密码> libusb0.sys

     /v表示详细输出，/fd指定摘要算法。

3.4 步骤三：安装证书并部署驱动

1. 安装根证书到“受信任的根证书颁发机构”：

   • 双击MyLibUSB.cer文件。
   • 点击“安装证书”。
   • 选择“本地计算机”（需要管理员权限确认），点击“下一步”。
   • 选择“将所有的证书都放入下列存储”，点击“浏览”，选择“受信任的根证书颁发机构”，然后完成安装。

2. 使用设备管理器手动更新驱动：

   • 右键点击“开始”菜单，选择“设备管理器”。
   • 找到你的USB设备（可能在其他设备或通用串行总线控制器下，带黄色感叹号）。
   • 右键点击该设备，选择“更新驱动程序”。
   • 选择“浏览我的电脑以查找驱动程序软件”。
   • 点击“让我从计算机上的可用驱动程序列表中选取”。
   • 点击“从磁盘安装...”，然后浏览并选择你生成的libusb0.inf文件。
   • 在接下来的模型列表中，选择“libusb-win32 Devices”下的对应设备，点击下一步完成安装。

如果一切顺利，设备管理器中的黄色感叹号会消失，设备会正常工作。你可以使用libusb-win32自带的测试工具（如testlibusb.exe）来验证是否能成功识别和通信。

4. 常见问题与深度排查指南

即使按照上述步骤，你也可能遇到各种“幺蛾子”。下面是我总结的常见问题及解决方案。

4.1 错误代码52：Windows无法验证此驱动程序软件的发布者

这是最经典的签名问题。即使你完成了自签名，也可能出现。

• 原因1：证书未正确安装到“受信任的根证书颁发机构”。

  • 排查：运行certmgr.msc，分别在“当前用户”和“本地计算机”的“受信任的根证书颁发机构”文件夹中，查找你创建的证书（如“MyLibUSB Root CA”）。
  • 解决：确保证书已安装到“本地计算机”的受信任根目录。如果只在“当前用户”下，系统级驱动验证可能不认。

• 原因2：驱动文件签名无效或损坏。

  • 排查：在命令行中对已签名的文件使用验证命令：signtool verify /v /pa libusb0.sys。如果验证失败，会给出具体原因。
  • 解决：重新执行签名步骤，确保使用正确的PFX文件和密码，并且签名时没有错误提示。

• 原因3：系统启用了“内存完整性”核心隔离。

  • 排查：打开“Windows 安全中心” -> “设备安全性” -> “核心隔离详细信息”，查看“内存完整性”是否开启。
  • 解决：内存完整性是Windows 10/11一个强安全功能，它会阻止未签名的驱动加载。对于开发环境，你可能需要临时关闭它（需要重启）。但请注意，这会降低系统安全性，仅建议在受信任的开发机上操作。

4.2 错误代码10：设备无法启动

这个错误通常发生在驱动签名问题解决之后，意味着驱动文件本身加载或初始化失败。

• 原因1：驱动文件与系统架构不匹配。

  • 排查：确认你使用的libusb0.sys是64位版本（对于64位系统）。libusb-win32的二进制包通常同时包含32位和64位版本，位于amd64和x86子目录下。
  • 解决：使用inf-wizard.exe时，确保它从正确的架构目录选取了.sys文件，或者手动将正确版本的.sys文件复制到与.inf文件相同的目录。

• 原因2：INF文件中的硬件ID不匹配。

  • 排查：用记事本打开你生成的libusb0.inf，找到[Manufacturer]和[Models]章节。然后在设备管理器中，右键点击你的设备 -> 属性 -> 详细信息 -> 硬件ID。查看VEN_XXXX和PID_XXXX的值是否与INF文件中%DeviceName%=DeviceInstall, USB\VID_XXXX&PID_XXXX这一行匹配。
  • 解决：如果不匹配，说明inf-wizard.exe可能识别错了设备。最可靠的方法是：复制设备管理器中的完整硬件ID（例如USB\VID_10C4&PID_EA60&REV_0100），然后手动修改INF文件，将USB\VID_XXXX&PID_XXXX替换为你的硬件ID（可以去掉&REV_XXXX部分）。可能需要修改多处。

4.3 安装过程看似成功，但设备仍无法识别或程序无法访问

• 原因1：多个驱动冲突。

  • 排查：某些USB芯片（如FTDI、CP210x）系统自带或已安装过厂商官方驱动。
  • 解决：在设备管理器中，完全卸载该设备（右键 -> 卸载设备，并勾选“尝试删除此设备的驱动程序软件”），拔插设备后，再重新用我们的libusb0.inf安装。

• 原因2：程序没有以管理员权限运行。

  • 排查：访问USB设备需要较高权限。
  • 解决：确保你调用libusb库进行测试或开发的应用程序是以管理员身份启动的。

• 原因3：Zadig工具的影响。

  • 背景：Zadig是另一个流行的USB驱动安装工具，常用于一些开源硬件项目。它会将设备驱动替换为WinUSB或libusbK。
  • 排查：如果你之前用Zadig安装过驱动，设备管理器里显示的驱动程序提供商可能是libusbK或WinUSB。
  • 解决：libusb-win32和libusbK/WinUSB是不兼容的。你需要用Zadig将驱动切换回原始驱动，或者彻底卸载设备驱动，再重新安装libusb-win32。

5. 进阶技巧与长期维护建议

5.1 一键签名脚本

反复执行命令行签名很麻烦。你可以创建一个批处理文件（.bat），将签名过程自动化。将以下内容保存为sign_driver.bat，放在与证书和驱动文件同级的目录，根据实际情况修改路径和密码。

@echo off set CERT_PFX=MyLibUSB.pfx set CERT_PASSWORD=YourPasswordHere set DRIVER_NAME=libusb0 echo Signing catalog file... signtool sign /v /fd sha256 /f %CERT_PFX% /p %CERT_PASSWORD% %DRIVER_NAME%.cat if %errorlevel% neq 0 pause & exit /b %errorlevel% echo Signing sys file... signtool sign /v /fd sha256 /f %CERT_PFX% /p %CERT_PASSWORD% %DRIVER_NAME%.sys if %errorlevel% neq 0 pause & exit /b %errorlevel% echo Signing completed successfully. pause

5.2 为多个设备批量生成INF

如果你需要为同一型号的多个设备安装驱动，不需要每个都跑一遍向导。只需成功生成一个INF文件后，用文本编辑器打开它，找到[Models]部分。你可以手动添加多个硬件ID行。例如：

[Models] ; 原有设备 %DeviceName%=DeviceInstall, USB\VID_10C4&PID_EA60 ; 添加另一个同型号但序列号不同的设备（通常不需要） ; %DeviceName%=DeviceInstall, USB\VID_10C4&PID_EA60&MI_00 ; 添加另一个不同VID/PID的设备 %AnotherDevice%=DeviceInstall, USB\VID_1234&PID_5678

然后，在[Strings]部分为新的%AnotherDevice%定义描述字符串。这样，一个INF文件就能应对多个设备。

5.3 驱动文件的版本管理

libusb-win32的驱动文件（libusb0.sys）版本需要与运行时库（libusb0.dll）版本大致匹配。建议将特定版本的驱动文件、INF文件和签名证书作为一个整体项目保存。当你升级使用新版本的libusb库进行开发时，最好也检查并更新驱动文件，避免因版本不兼容导致的不稳定问题。

5.4 彻底卸载驱动

如果驱动安装混乱，想重新开始，可以：

1. 在设备管理器中卸载设备并删除驱动软件。
2. 使用pnputil.exe命令查看和删除驱动包。以管理员身份运行CMD：

   pnputil /enum-drivers

   找到发布者为“libusb-win32”或相关描述的程序包，记下其发布的名称（如oemXX.inf）。

   pnputil /delete-driver oemXX.inf /force

3. 重启计算机。

6. 替代方案与工具选型思考

虽然libusb-win32经典且稳定，但在2023年及以后的Windows开发环境中，或许可以考虑更现代的替代方案，这取决于你的具体需求：

• libusbK: 这是libusb-win32的一个分支，旨在提供更稳定、功能更丰富的Windows后端。它使用libusbK.sys驱动，同样需要处理签名问题，但其内核驱动设计可能对某些新设备兼容性更好。Zadig工具默认安装的就是libusbK驱动。
• WinUSB: 这是微软官方提供的通用USB驱动模型，通过.inf文件安装后，设备将由系统标准的WinUSB.sys驱动。它的优势是已经由微软数字签名，完全避免了自签名的麻烦。许多现代USB设备（特别是遵循WCID规范的）都推荐使用WinUSB。你可以使用Zadig工具，或者手动编写INF文件（使用WinUSB作为服务）来为设备安装WinUSB驱动。如果你的开发库（如PyUSB配合libusb0后端）支持WinUSB，这将是最省事的方案。
• Zadig: 这不是一个库，而是一个强大的图形化工具。它能自动识别USB设备，并一键为其安装WinUSB,libusbK,libusb-win32等驱动。对于快速测试和原型开发，Zadig极其方便。但请注意：它会覆盖设备原有的厂商驱动，且操作是全局性的。在生产环境或需要保留原厂驱动的设备上慎用。

如何选择？

• 追求最小改动和经典兼容：项目依赖老旧的libusb0.dllAPI -> 选择libusb-win32。
• 开发新项目，希望有更好的Windows支持和未来兼容性： -> 考虑libusbK。
• 只想快速让设备在用户态被访问，不想碰驱动签名： -> 优先尝试WinUSB（通过Zadig或手动INF）。
• 快速测试、评估设备连接性： -> 使用Zadig一键安装。

折腾Win10上的libusb-win32驱动签名，本质上是一场与操作系统安全机制的合规性对话。理解其背后的原理（证书信任链）远比记住步骤更重要。一旦你成功完成一次自签名并安装，这套方法论可以迁移到任何其他需要安装未签名内核驱动的情景。我的经验是，严格按照本文的“自签名证书”路径操作，成功率在95%以上。剩下的5%，多半是硬件ID匹配、系统安全功能（如内存完整性）或驱动文件版本的问题，按照第4部分的排查指南，耐心分析，总能解决。最后记住，在开发机上操作，安全与便利需要权衡；但在最终用户的生产环境，强烈建议使用经过正式签名（如购买商业代码签名证书）的驱动。