在追求高效自动化办公的今天，WPS Office 的宏功能（基于 VBA）无疑是提升生产力的利器。无论是自动处理表格数据、批量生成文档，还是定制复杂的业务逻辑，宏都能将我们从重复劳动中解放出来。然而，强大的能力往往伴随着潜在的风险。恶意宏代码（Macro Malware）是Office文档安全中最常见、最具迷惑性的威胁之一，它可能隐藏在看似无害的表格或文档中，一旦执行便会窃取信息、破坏系统或传播病毒。
因此，深入理解并正确配置WPS的宏安全策略，掌握数字签名证书的应用，是每一位使用WPS进行自动化办公的用户，尤其是企业IT管理员必须掌握的核心安全技能。本文将系统性地剖析WPS宏安全体系，并提供从个人防护到企业级部署的完整实操指南。
一、 宏安全威胁：为何我们必须高度重视？ #
宏本质上是一段用VBA（Visual Basic for Applications）编写的脚本程序，它可以访问和操作文档内容，甚至调用系统资源。正是这种强大的交互能力，使其成为攻击者的理想载体。
常见恶意宏攻击场景：
- 钓鱼邮件附件：攻击者发送带有WPS文档（.wps、.et、.dps）或启用宏的模板的邮件，诱骗用户打开并“启用内容”。
- 网络下载文件：从不可信的网站下载的“免费模板”、“实用工具”可能内嵌恶意宏。
- U盘传播：通过自动运行或诱骗打开文档进行传播。
- 供应链攻击：攻击受信任的第三方模板或插件供应渠道。
恶意宏的典型危害：
- 数据窃取：遍历文档、发送文件到远程服务器、记录键盘输入。
- 系统破坏：删除文件、加密文档进行勒索、破坏系统设置。
- 权限提升与持久化：在系统中植入后门，创建计划任务或启动项。
- 横向移动：利用宏代码探测内网，进行进一步的渗透。
WPS Office 设计了一套多层次的安全机制来应对这些威胁，其核心是 “宏安全设置” 与 “数字签名信任” 体系。
二、 WPS 宏安全中心：你的第一道防线 #
WPS的宏安全设置主要集中在 “信任中心” 。你可以通过以下路径访问：点击左上角「文件」->「选项」->「信任中心」->「信任中心设置」->「宏设置」。
在这里，你会看到几个核心的安全级别选项，理解它们至关重要：
2.1 宏安全级别详解 #
-
禁用所有宏，并且不通知
- 描述：最高安全级别。所有宏，无论是否签名，都不会运行，且不会出现任何警告提示。
- 适用场景：对安全要求极端严格的环境，或完全不需要使用宏功能的用户。此设置会彻底禁用自动化功能。
- 影响：所有包含宏的文档将无法执行任何自动化操作。
-
禁用所有宏，并发出通知
- 描述：WPS默认的推荐设置。打开包含宏的文档时，文档顶部会出现一个黄色的“安全警告”栏，提示宏已被禁用。用户可以选择手动“启用内容”。
- 优点：在安全与可用性之间取得平衡。用户拥有最终决定权，可以对受信任的文档启用宏。
- 风险：依赖于用户的安全意识。如果用户习惯性点击“启用内容”，则此防护形同虚设。
-
禁用无数字签署的所有宏
- 描述：仅运行受信任的发布者签名的宏。对于未签名的宏，将直接禁用且不通知。这是企业环境中推荐的高安全性设置。
- 工作原理：WPS会验证宏上的数字签名。如果签名有效且发布者已被添加到“受信任的发布者”列表中，则宏自动运行。否则，宏被禁用。
- 前提：需要提前部署数字签名证书，并将证书发布者设为受信任。
-
启用所有宏（不推荐，可能会运行有潜在危险的代码）
- 描述：最低安全级别。所有宏都会不经询问直接运行。
- 警告：强烈不建议在任何生产环境或个人电脑上使用此设置，这将使系统门户大开，极易受到攻击。
个人用户最佳实践建议：保持默认的 “禁用所有宏，并发出通知” 。对于需要经常使用的、来源绝对可靠的宏文档，可以将其保存位置添加到 “受信任位置” （在信任中心设置中）。存放在受信任位置的文档，其宏可以直接运行，无需每次确认。
三、 数字签名：为可信宏颁发“身份证” #
如果说安全级别是门卫，那么数字签名就是门卫手中那份可靠的“访客名单”。数字签名技术为宏代码提供了一种密码学上的身份验证和完整性保证机制。
3.1 数字签名的工作原理 #
-
签名过程（开发者侧）：
- 开发者使用其私钥（Private Key）对宏代码的哈希值（一种唯一的“数字指纹”）进行加密，生成“签名”。
- 将签名和对应的公钥证书（包含公钥和开发者身份信息）一同嵌入到WPS文档中。
-
验证过程（WPS/用户侧）：
- WPS打开文档时，会使用文档中附带的公钥证书来解密签名，得到原始的哈希值A。
- 同时，WPS会对文档中当前的宏代码重新计算一次哈希值B。
- 比较哈希值A和B。如果一致，则证明：a) 宏自签名后未被篡改（完整性）；b) 该签名确实是由持有对应私钥的发布者创建的（身份验证）。
3.2 数字签名证书的类型 #
- 商业证书：向全球受信的证书颁发机构（CA）如 DigiCert, Sectigo, GlobalSign 购买。费用较高，但通用性强，在所有未特殊配置的WPS客户端上都会被识别为“来自商业CA的签名”。
- 内部/私有证书：使用企业内部的PKI（公钥基础设施）或工具（如OpenSSL）自行签发。成本低，可控性强，但需要在每台客户端上手动将根证书或发布者证书导入“受信任的发布者”列表。
- 自签名证书：开发者自己为自己签发的证书。主要用于测试，或在封闭环境中使用。它不提供第三方的身份担保，所有客户端默认不信任，需要手动添加信任。
3.3 如何在WPS中为宏添加数字签名？ #
准备工作：你需要一个有效的数字证书（.pfx或.p12文件，包含私钥；或.p7b/.cer文件配合系统内的私钥）。
签名步骤：
- 在WPS中，打开包含宏的文档（.wps/.et/.dps）。
- 进入VBA编辑器（按
Alt + F11）。 - 点击菜单栏「工具」->「数字签名」。
- 在弹出的对话框中，点击“选择”，从系统中选取你的代码签名证书。
- 点击“确定”保存。现在，该VBA项目已附上你的数字签名。
验证签名：签名后，在VBA编辑器的「工具」->「数字签名」对话框中，可以看到签名详情。用户打开文档时，如果发布者受信任，宏将自动运行；否则将根据安全设置给出提示。
四、 企业级部署：构建集中管理的宏安全体系 #
对于企业或教育机构，逐台配置客户端是不可行的。需要一套集中、自动化的策略。
4.1 使用组策略（GPO）部署信任设置 #
如果企业使用Windows域环境，可以通过Active Directory组策略统一配置所有域内计算机的WPS宏安全设置。
- 策略位置：需要获取或制作WPS Office的管理模板（.admx文件），并将其添加到域控制器的策略定义中。
- 可配置项：
- 统一设置所有客户端的宏安全级别（如强制设为“禁用无数字签署的所有宏”）。
- 集中分发并导入企业内部的受信任根证书和发布者证书列表。
- 定义统一的受信任位置（如网络上的安全模板库
\\server\templates\）。
- 优势：确保策略一致性，降低用户误操作风险，实现规模化安全管理。
4.2 构建内部宏签名与分发流程 #
- 建立内部CA：部署企业PKI，颁发专用的代码签名证书。
- 制定签名规范：规定哪些部门、哪些人员有权申请和使用代码签名证书。所有业务宏必须经过测试和审批后才能签名。
- 创建受信任发布者列表包：制作一个包含企业内部根证书和所有有效发布者证书的安装包，通过组策略或软件分发系统（如SCCM）推送到所有客户端。
- 设立安全模板库：将已签名的、标准化的企业模板（如财务报表模板、合同模板）存放在网络共享的“受信任位置”。员工直接从该位置取用，宏可自动运行，既安全又便捷。
此方案可与《 WPS 企业级部署后运维指南：许可证管理、组件更新与用户支持》中提到的集中管理框架相结合，形成完整的企业办公套件安全管理闭环。
五、 高级安全实践与疑难排查 #
5.1 宏被禁用时的排查步骤 #
当遇到宏无法运行的预期问题时，请按以下顺序排查：
- 检查文档顶部：是否有黄色安全警告栏？如有，点击“启用内容”。
- 检查宏安全设置：进入「信任中心」，确认当前设置的宏安全级别。如果是“禁用所有宏，并且不通知”，则需调整。
- 检查数字签名：
- 对于签名宏，检查签名是否有效（未过期、未吊销）。
- 检查发布者是否在“受信任的发布者”列表中（信任中心内可查看和管理）。
- 检查文档位置：文档是否位于“受信任位置”？如果不在，可考虑移动文档或添加该路径到信任位置。
- 检查文件格式：确保文档已保存为启用宏的格式（如 .wps, .et, .dps，或 .wpsm, .etm, .dpsm）。
5.2 防范社会工程学攻击 #
技术手段再完善，也无法完全防范人为疏漏。必须加强用户安全教育：
- 永不轻易启用未知来源文档的宏：尤其警惕邮件附件中要求启用宏的文档。
- 检查文档属性：打开文档前，若不放心，可右键查看属性，在“数字签名”选项卡中查看签名详情。
- 保持软件更新：确保WPS Office为最新版本，以获取最新的安全补丁。
5.3 与操作系统安全联动 #
宏安全不是孤立的，应作为整体终端安全策略的一部分：
- 启用Windows Defender防病毒/其他终端防护软件：现代杀毒软件可以检测并阻止已知的恶意宏行为。
- 应用最小权限原则：日常办公账户不应拥有本地管理员权限，这可以限制恶意宏对系统的破坏程度。
- 使用应用程序控制策略：如Windows Defender应用程序控制（WDAC），可以定义只允许运行特定签名或来自特定位置的脚本。
六、 FAQ：常见问题解答 #
Q1：我收到一份同事发来的重要表格，里面有宏，但WPS阻止了它。我应该怎么做？ A：首先，通过电话或其他可靠渠道向同事确认该文档及其宏的用途。确认无误后，如果该同事经常发送此类文档，可以请他将用于签名的证书发给你，你将其导入“受信任的发布者”。如果是临时文件，且你确认来源安全，可以在打开文档时点击黄色警告栏的“启用内容”。更佳的做法是，建议公司部署统一的宏签名策略。
Q2：我自己写了一个宏自用，不想花钱买商业证书，怎么办？ A：对于个人自用，最佳实践是：将包含宏的文档保存在一个专用文件夹，然后将此文件夹路径添加到WPS的 “受信任位置” 。这样，该文件夹内的所有文档宏都能直接运行，无需签名。切勿因此将全局宏安全级别调低。
Q3：如何判断一个宏是否有害？
A：普通用户很难直接判断。最核心的原则是：不信任，不启用。对于高级用户，可以在VBA编辑器（Alt+F11）中查看宏代码，警惕一些危险关键词，如 Shell（执行系统命令）、Kill（删除文件）、CreateObject 调用WScript.Shell 或 ADODB.Stream（常用于下载和执行）、以及向网址发送HTTP请求的代码。但这需要一定的VBA知识。
Q4：WPS的宏安全机制和Microsoft Office的一样吗？ A：两者在理念和基本设置（如四个安全级别、数字签名、信任中心）上高度相似，这是为了兼容性和用户习惯。但在具体的组策略模板、注册表路径、以及某些高级安全功能的集成深度上可能存在差异。管理时需参考WPS官方管理文档。关于两者更全面的对比，可以参考《 WPS 与 Microsoft Office：功能、兼容性与价格深度对比解析》。
Q5：我们已经部署了数字签名，但用户打开某些已签名的宏文档时仍被阻止，为什么？ A：可能的原因有：1) 用户电脑的宏安全级别设为了“禁用所有宏，并且不通知”；2) 用户电脑的系统时间错误，导致证书有效期验证失败；3) 证书链不完整，用户电脑缺少签发该代码签名证书的中间根证书或根证书；4) 证书已被吊销。需要逐一排查。
结语 #
宏自动化是WPS Office提升办公效率的锋刃，而严格的安全策略则是保护我们不被这锋刃所伤的刀鞘。从个人用户理解并善用“信任中心”与“受信任位置”，到企业管理员通过数字签名和组策略构建铜墙铁壁，这是一个层层递进的安全能力建设过程。
安全从来不是一劳永逸的配置，而是一种持续的风险管理意识和动态的应对策略。在享受自动化便利的同时，请务必让安全警钟长鸣。将本文介绍的原则与实践，与《 WPS 宏录制与 VBA 脚本编写入门：实现批量处理的自动化办公》中的开发技巧相结合，你便能真正安全、高效地驾驭WPS宏的强大力量。
本文由 WPS官网入口 站点提供，欢迎访问 WPS Office 下载 页面了解更多办公软件资讯。