如何开启 Windows 11 应用安装沙盒防护 提高运行未知程序安全等级

必须启用Windows Sandbox并配置.wsb文件禁用网络：需专业版/企业版/教育版，开启CPU虚拟化与“虚拟机平台”，通过optionalfeatures.exe启用沙盒，再创建含Disable的.wsb文件实现离线安装测试。

您需要在 Windows 11 中运行来源不明的安装包，又担心它偷偷写入系统目录、篡改注册表或静默联网回传数据，必须启用真正能切断这些行为的安装级沙盒防护机制，而不是仅靠杀毒软件扫描文件哈希。

确认系统与硬件前提条件

Windows Sandbox 功能无法绕过底层限制，缺一不可：必须是专业版/企业版/教育版，CPU 虚拟化已开启，且“虚拟机平台”组件处于启用状态。任一缺失都会导致后续所有操作失败并报错“功能不可用”。

按 Win + R 键，输入 winver 并回车，核对窗口中显示的版本名称是否含 Professional、Enterprise 或 Education。

按 Ctrl + Shift + Esc 打开任务管理器 → 切换至「性能」选项卡 → 点击左侧「CPU」→ 查看右侧「虚拟化」状态是否为“已启用”；若为“已禁用”，需立即重启进入 BIOS/UEFI 关闭 Secure Boot 并开启 Intel VT-x 或 AMD-V。

仍在同一界面点击左侧「内存」→ 向下滚动确认「已启用虚拟机平台」显示为“是”；若为“否”，仅开启虚拟化不够，必须进 BIOS 再检查并启用“Virtual Machine Platform”或“VMP”相关选项。

通过图形界面启用 Windows Sandbox

这是最稳妥的启用方式，系统会自动校验依赖项并强制勾选全部必需组件，避免手动遗漏导致沙盒启动失败。

按 Win + R 键，输入 optionalfeatures.exe 并回车，打开「Windows 功能」窗口。

向下滚动找到「Windows 沙盒」，勾选其复选框；此时系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」——请勿取消勾选，否则沙盒无法初始化。

点击「确定」→ 等待安装进度完成 → 出现提示后点击「立即重新启动」。

配置 AppContainer 容器化执行控制

该策略不依赖虚拟化，所有 Windows 11 版本均可启用，专用于限制已签名 Win32 安装程序（如 MSI、带微软认证的 EXE）的运行权限，防止其读取文档、枚举进程或调用驱动接口。

elasticsearch-9.4.0 win

PHP中文网提供Elasticsearch 9.4.0 Windows 版本压缩包下载解压即用，内置 OpenJDK 无需额外配置 Java 环境。该版本重磅推出原生 Prometheus 支持、正式版 Elastic Workflows 以及基于 NVIDIA cuVS 的 GPU 加速向量索引，大幅提升 AI 检索与可观测性能力。建议前往官网下载，快速体验极速搜索与强大的数据分析功能。

下载

方法一：启用应用执行控制

按下 Win + I 打开设置 → 左侧点击「隐私和安全性」→ 右侧点击「Windows 安全中心」→ 点击「应用与浏览器控制」→ 滚动到「基于声誉的保护」区域 → 点击「应用执行控制设置」→ 将开关切换为「开」。

方法二：强制启用受控文件夹访问

在「应用与浏览器控制」页面 → 点击「管理受控文件夹访问」→ 确保开关为「开」；【此步必须开启，否则 AppContainer 对用户目录的写入拦截将失效】

创建自定义 .wsb 配置文件禁用网络

默认沙盒允许联网，这会让恶意安装包在隔离环境中仍能外连 C2 服务器。通过 .wsb 文件可硬性切断网络，实现真正离线安装测试。

第一步：用记事本新建一个纯文本文件，内容如下：

EnableDisableC:\SandboxFilestrue

第二步：将文件保存为 offline-sandbox.wsb，注意编码必须为 UTF-8 无 BOM，扩展名必须是 .wsb。

第三步：双击该 .wsb 文件即可启动一个完全断网、且只读挂载指定文件夹的沙盒环境。