Windows安全更新通过TLS证书固定、双重签名与哈希校验、DISM映像检查、回滚包完整性验证及元数据溯源构成全流程完整性保障机制。
windows 安全更新过程中的完整性验证，是防止恶意篡改、传输损坏或中间人攻击的关键防线。它不是单一环节，而是一套贯穿“元数据获取→下载→安装”全流程的多层校验机制，所有步骤均由系统自动执行，用户无需手动干预，但理解其逻辑有助于判断异常、排查失败原因。
元数据连接全程受 TLS 证书固定保护
Windows 设备与微软更新服务器通信时，所有元数据交换（如补丁列表、适用性规则）均通过 HTTPS（TLS 443 端口）完成。该连接采用证书固定（Certificate Pinning），即系统只信任由 Microsoft Windows 更新中间证书签发的服务器证书。若证书过期、被吊销、颁发者非微软，或域名不匹配（SAN 检查失败），连接立即中止——这有效阻断了代理劫持、伪造服务器等中间人攻击。
下载内容经双重签名与哈希校验
实际更新文件（如 .cab、.msu 包）下载完成后，系统会执行两步验证：
- 先验证数字签名：确认文件由微软或经认证的 IHV/OEM 签署，且签名链可追溯至 Windows Root Certificate Authority；
- 再比对文件哈希：使用 SHA256 或更强算法计算本地文件摘要，与元数据中预置的哈希值严格比对，一字不差才允许进入安装队列。
即使启用传递优化（P2P 下载），每个分片在接收后也立即校验，任一片失败即重取，杜绝静默损坏。
安装前触发系统映像级完整性检查
对于关键系统更新（尤其是累积更新和功能更新），Windows 会在安装前调用 DISM 工具扫描 WinSxS 映像存储，确保修复源本身未被污染。若发现映像腐化，SFC 将无法还原原始文件——因此 DISM 的健康检查是 SFC 能否生效的前提。这一层验证常被忽略，却是避免“越更新越不稳定”的技术底座。
安装后保留回滚能力与签名回溯
更新成功后，旧版本系统文件会被压缩归档（通常存于 C:\Windows.old 或 WinSxS 中），并保留完整签名信息。若重启后出现蓝屏、驱动失效等问题，可通过“卸载更新”快速退回，且回滚过程同样校验归档包完整性。所有已安装更新在“设置→Windows 更新→更新历史记录”中可查，点击具体 KB 编号还能看到其签名时间、发布渠道（如 Update Catalog）、适用范围等元数据，支持溯源审计。
不复杂但容易忽略。
