Win8 電腦降級安裝 Win7 遭遇啟動載入器簽章錯誤怎麼辦？
在預裝 Windows 8 的電腦 (UEFI + Secure Boot 架構) 上安裝 Windows 7，重啟時出現 「無法驗證 winload.efi 數位簽章」 或 「Windows 无法验证此文件的数字签名: \Windows\system32\winload.efi」 錯誤，導致無法進入系統。這是 UEFI Secure Boot 機制阻擋未簽署/舊版啟動載入器的典型表現。本文提供三級解決方案。
錯誤原因分析
- Win8 預裝機強制啟用 UEFI 模式 + Secure Boot (安全開機)
- Windows 7 安裝媒體 (特別是早期 ISO) 的
winload.efi 簽章不被當前 Secure Boot 金鑰資料庫 (db) 信任
- 系統固件拒絕載入未驗證的啟動載入器，拋出錯誤並停止啟動
解決方案按成功率排序
方案一：BIOS/UEFI 關閉 Secure Boot (最直接、成功率最高) ⭐⭐⭐⭐⭐
- 重啟電腦，連續點擊 F2 / Del / F10 / Esc 進入 BIOS/UEFI 設定介面 (視廠商而定)
- 尋找 Security (安全) / Boot (開機) / Authentication (驗證) 索引標籤
- 找到 Secure Boot / 安全開機 選項 → 設為 Disabled (停用)
- 若有 OS Type / 作業系統類型 選項，改為 Other OS / Windows 7 / Legacy
- 儲存離開 (通常 F10 → Yes) → 重啟
- 若仍報錯，進一步將 Boot Mode / 開機模式 由 UEFI 改為 Legacy/CSM (兼容性支援模組)，注意：此舉需將磁碟分區表從 GPT 轉為 MBR，或重新分區安裝
方案二：使用支援 UEFI+Secure Boot 的 Win7 安裝媒體 (正規軍方案) ⭐⭐⭐⭐
- 下載 Windows 7 SP1 官方 ISO (含 UEFI 支援)，確認
sources\boot.wim 與 efi\microsoft\boot\bootmgfw.efi 存在
- 使用 Rufus 製作 USB：
分區配置: GPT (UEFI)
目標系統: UEFI (非 CSM)
檔案系統: FAT32 (UEFI 強制要求)
叢集大小: 4096 bytes
- 關閉 Secure Boot 或保持啟用 (新版 Win7 ISO 簽章可能被信任)
- UEFI 模式啟動 USB 安裝，全程保持 UEFI/GPT 路徑
方案三：Windows 修復環境修復啟動載入器 (針對已安裝但無法開機) ⭐⭐⭐
- 插入 Win7 安裝光碟/USB → UEFI 模式啟動
- 選擇語言 → 「修復您的電腦」
- 選擇「疑難排解」 → 「進階選項」 → 「啟動修復」
- 系統自動掃描並嘗試修復
winload.efi、BCD、EFI 系統分區
- 若自動修復失敗，進入「命令提示字元」手動重建 BCD：
diskpart
list disk
select disk 0 (系統碟)
list partition
select partition (通常 100-500MB, FAT32)
assign letter=Z
exit
bcdboot C:\Windows /s Z: /f UEFI /l zh-tw
(假設 Win7 安裝在 C:，EFI 分區指派 Z:)
- 重啟測試
方案四：傳統「最近一次正確配置」 (僅適用非 UEFI/舊版 BIOS) ⭐⭐
- 開機時連續點擊 F8 進入「進階開機選項」
- 選擇「最近一次正確的配置 (您的設定還原為上次成功開機的狀態) 」
- 系統嘗試還原註冊表與驅動程式狀態至上次成功開機狀態
注意： UEFI 系統通常無傳統 F8 選單，此法多數無效。
關鍵知識補充
| 概念 | 說明 |
|---|
| winload.efi | UEFI 環境下的 Windows 開機載入器，負責載入核心 (ntoskrnl.exe) 與 HAL |
| Secure Boot | UEFI 2.3.1+ 規格，僅載入經數位簽章驗證的 EFI 二進制檔 (開機載入器、驅動、核心) |
| Platform Key (PK) | 廠商根金鑰，控制 KEK/db/dbx 更新權限 |
| Key Exchange Key (KEK) | 簽署 db/dbx 更新的中介金鑰 |
| Signature Database (db) | 允許載入的簽章/雜湊清單 (Microsoft Windows Production CA 2011 等) |
| Revoked Signatures (dbx) | 禁止載入的簽章/雜湊清單 (已知惡意/洩漏金鑰) |
預防建議
- 購買預裝 Win8/10/11 電腦前，確認廠商支援 關閉 Secure Boot 與 Legacy/CSM 模式
- 若必須運行 Win7，優先選購 支援雙模式啟動的機型 或要求廠商提供 Win7 驅動與預裝選項
- 企業環境建議使用 MDT/SCCM 部署經過測試的 Win7 映像，包含正確的 UEFI 啟動檔案
總結
核心解法：進 BIOS 關閉 Secure Boot (必要時改 Legacy/CSM) → 重新安裝/修復 Win7。 此錯誤本質為 UEFI 安全機制與舊版作業系統簽章不匹配，非硬體故障。按順序嘗試上述方案，95% 以上案例可在方案一解決。