Windows 7需要额外安装SHA-2补丁，这确实是维护旧系统时很常见的“拦路虎”。
简单来说，这是微软为了提升系统安全性而做出的改变，而Windows 7因为系统老旧，无法原生支持新的安全标准，所以需要手动“打补丁”来适配。
为什么要安装SHA-2补丁？
SHA-2是一种更安全的哈希算法，用于验证软件更新的真实性和完整性。从2019年7月起，微软全面停用了安全性不足的SHA-1算法，所有Windows更新和驱动程序都必须使用SHA-2进行数字签名。
Windows 7（包括SP1版本）原生不支持这种新的签名方式。因此，如果不安装补丁，系统将无法识别新签名的更新和驱动，直接后果就是：
无法获取安全更新：系统将无法接收2019年7月之后发布的关键安全补丁，使电脑暴露在风险中。
新硬件/软件无法安装：例如，NVIDIA或AMD的新版显卡驱动、VMware Tools等，因无法通过SHA-2签名验证而安装失败。
补丁清单与安装流程
解决这个问题需要为Windows 7 SP1系统安装一系列特定的更新。请务必按顺序安装，否则可能导致失败。
补丁编号 全称/描述 说明与备注
KB4490628 2019-03 Servicing Stack Update 服务堆栈更新。必须先安装此补丁，确保系统能顺利安装后续更新。
KB4474419 SHA-2 code signing support SHA-2签名支持补丁。核心补丁，为系统添加对SHA-2算法的支持。
可选(ESU) 扩展安全更新(ESU) 非必须。Windows 7主流支持已于2020年1月结束，此后仅付费的ESU计划客户能获得安全更新。
安装前的重要检查
1. 确认系统版本：你的Windows 7必须是 Service Pack 1 (SP1)版本。如果不是，需要先安装 KB976932 这个SP1补丁。
2. 核对系统类型：确认你的电脑是 64位(x64) 还是 32位(x86) 系统，因为需要下载对应版本的补丁。
详细安装步骤
1. 安装服务堆栈更新 (KB4490628)：从Microsoft Update Catalog网站搜索并下载KB4490628，双击安装并重启电脑。
2. 安装SHA-2支持补丁 (KB4474419)：搜索并下载KB4474419，双击安装并再次重启。
3. 开启Windows Update：重启后，打开系统的Windows Update功能，检查并安装剩余的更新。
备选方案：如果自动更新失败，可以尝试使用DISM命令手动安装，或从可信的第三方镜像站获取补丁文件，但要小心安全风险。
常见问题与故障排查
问题一：遇到更新无法安装的报错怎么办？
最常见的原因是未按顺序安装（如跳过KB4490628直接安装KB4474419），或下载的系统版本不匹配。请严格按顺序操作，并确认下载了适合自己系统的补丁。
问题二：未来无法收到Windows更新怎么办？
确保SHA-2补丁安装正确。对于2020年1月后想继续获得安全更新的用户，需额外购买微软的扩展安全更新(ESU) 服务。但ESU已于2023年1月彻底终止。
问题三：此补丁会导致系统兼容性问题吗？
极少数情况下，它可能导致一些依赖特定驱动签名的软件无法运行。如果遇到，可以尝试更新软件至最新版本。总体而言，安装此补丁以保障系统安全的必要性远大于它带来的微小风险。
长远建议：主动规划，降低风险
对于还在使用Windows 7的用户，除了解决眼前的兼容性问题，更建议从长远角度进行规划：
最稳妥的选择：升级操作系统
如果你的硬件支持，将系统升级到Windows 10 或 Windows 11是从根本上解决问题的办法，能让你继续获得最新的安全更新和功能。
过渡期的替代方案：安装专用安全软件
如果因特殊原因无法升级系统，可以安装一款可靠、仍在维护的第三方安全软件（如杀毒软件、防火墙等），作为“护城河”，为旧系统提供额外的安全防护。
在隔离环境中使用
对于装有Windows 7的旧电脑，可以考虑让它在断开互联网连接的隔离环境中运行，专门用于处理离线任务，这样能最大程度地降低被通过网络攻击的风险。
