离线下载windows补丁须通过microsoft update catalog，严格匹配os build号、架构及kb编号，使用dism.exe安装并校验哈希，装后必须重启生效。
补丁怎么离线下载才不踩坑
Windows 更新补丁离线安装的第一关，不是装，而是下对——wuapi.dll 依赖、KB 编号混淆、架构错配（x64 补丁装到 ARM64 系统）这三类错误占实际失败的七成以上。
- 别用浏览器直接搜“KB5001234 下载”，微软官方只通过
Microsoft Update Catalog提供原始 CAB/MSU 包，其他来源极可能被篡改或阉割 - 下载前务必确认目标服务器的
OS build number（运行winver或systeminfo | findstr "OS Version"），例如10.0.19045.3803对应 Win10 22H2，补丁必须严格匹配该分支 - 同一 KB 编号在不同系统上是不同文件：
Windows10.0-KB5001234-x64.cab和Windows11.0-KB5001234-x64.cab文件名相似但不可互换 - 补丁包体积常被低估——一个累积更新 MSU 实际解压后占 1–3GB 临时空间，
%windir%SoftwareDistributionDownload目录需预留足够容量
用 dism.exe 装补丁最稳，但参数不能错
dism.exe 是离线安装唯一可靠方式，wusa.exe 在 Server Core 或无 GUI 环境大概率失败，且不支持静默回滚。
- 基础命令必须带
/online（在线安装）或/image:（离线映像），漏掉就报错0x800f081f - 安装单个 MSU：
dism /online /add-package /packagepath:"C:patchWindows10.0-KB5001234-x64.msu" - 安装 CAB（更轻量，适合嵌入脚本）：
dism /online /add-package /packagepath:"C:patchWindows10.0-KB5001234-x64.cab" /norestart，加/norestart避免中途重启中断流程 - 若提示
0x800f0922，通常是依赖补丁缺失，用dism /online /get-packages | findstr "Installed"检查已装 KB 列表，按编号顺序补全前置更新
批量部署时怎么避免“装一半崩了”
多台服务器挨个手动 dism 不现实，但用 PowerShell 远程执行又容易因超时、权限、路径空格挂掉。
- 别用
Invoke-Command直接传大补丁文件——网络传输慢、内存占用高，改用共享目录 + UNC 路径：\fileserverpatchesKB5001234.msu - 每台服务器上先校验文件完整性：
certutil -hashfile "\fileserverpatchesKB5001234.msu" SHA256，比对官网 Catalog 页面提供的哈希值 - 封装成批处理更可控：
for /f "delims=" %i in (servers.txt) do psexec \%i -s -d cmd /c "dism /online /add-package /packagepath:"\\fileserver\patches\KB5001234.msu" /norestart"，注意双引号和反斜杠转义 - 关键点：所有操作必须以
SYSTEM或本地管理员身份运行，普通域用户即使有管理员组权限，dism仍会因 UAC 或令牌限制失败
装完不重启？小心驱动和内核模块没生效
打完补丁后 dism 返回成功 ≠ 系统已更新，尤其涉及 ntoskrnl.exe、tcpip.sys 等核心组件时，不重启等于白装。
- 检查是否真生效：
systeminfo | findstr "Hotfix"只显示已安装记录，但要确认运行时版本得看ver或Get-WindowsUpdateLog中最后一条PostReboot时间戳 - 某些补丁（如 .NET Framework 更新）要求额外服务重启：
net stop w3svc && net start w3svc，IIS 应用池可能卡在旧 CLR 版本 - 最易忽略的是 Hyper-V 主机：补丁若含
storport.sys更新，虚拟机磁盘 I/O 可能异常，必须重启宿主机，仅重启 VM 无效 - 如果业务不允许立即重启，可用
shutdown /r /t 3600 /c "Pending reboot for KB5001234"延迟一小时，但别拖过 24 小时——未重启的补丁状态在 Windows Update 里会降级为“待定”，后续更新可能冲突
