windows 10“可控文件夹访问”可防止勒索软件篡改重要数据，支持通过安全中心、组策略（专业版/企业版）或注册表（家庭版）启用，并可自定义受保护文件夹及添加信任应用。
如果您希望防止勒索软件或其他未经授权的应用程序修改重要文件夹中的数据，Windows 10 提供了“可控文件夹访问”这一内置防护功能。以下是启用并配置该功能的具体操作步骤：
一、通过Windows安全中心启用可控文件夹访问
此方法利用系统原生安全模块直接开启防护，适用于已安装最新累积更新且未禁用Windows安全服务的设备。它将实时拦截未获信任的应用对受保护文件夹的写入行为。
1、点击【开始】按钮，选择【设置】（齿轮图标）。
2、进入【更新和安全】→【Windows 安全中心】→【病毒和威胁防护】。
3、在“病毒和威胁防护设置”下，点击【管理设置】。
4、向下滚动至“勒索软件防护”区域，点击【可控文件夹访问】右侧的开关。
5、将开关切换为“开”状态。若提示需管理员权限，请确认提升。
二、添加受保护的文件夹路径
默认情况下，可控文件夹访问仅保护系统预设的关键位置（如文档、图片、桌面等）。如需扩展防护范围，必须手动添加自定义路径，确保指定目录受到实时监控。
1、在【可控文件夹访问】页面中，点击【受保护的文件夹】下方的【+ 添加受保护的文件夹】。
2、在弹出窗口中，浏览并选中目标文件夹（例如D:\Work\Projects），点击【选择文件夹】。
3、重复执行上述操作，可添加多个独立路径。每条路径均以独立条目显示在列表中。
4、确认所有必要文件夹均已加入后，关闭设置窗口。
三、允许特定应用绕过防护
当合法软件（如备份工具、开发环境或同步客户端）因误报被拦截时，可通过白名单机制授予其写入权限，避免业务中断。该操作仅影响所选应用，不削弱整体防护强度。
1、返回【可控文件夹访问】主页面，点击【允许的应用】下的【+ 添加允许的应用】。
2、选择【浏览所有受信任的应用】，或点击【浏览】手动定位可执行文件（.exe）。
3、找到对应程序路径（例如C:\Program Files\SyncTool\sync.exe），选中后点击【打开】。
4、该应用名称随即出现在允许列表中，并显示“已允许”状态标识。
四、通过组策略启用可控文件夹访问（适用于专业版/企业版）
对于批量部署场景或需集中管控的组织环境，可借助本地组策略编辑器强制启用该功能，绕过用户界面限制，确保策略不可被普通用户关闭。
1、按【Win + R】键，输入gpedit.msc，回车打开本地组策略编辑器。
2、依次展开【计算机配置】→【管理模板】→【Windows 组件】→【Windows 安全中心】→【勒索软件防护】。
3、双击右侧【启用可控文件夹访问】策略项。
4、选择【已启用】，点击【确定】保存配置。
5、重启计算机或运行命令gpupdate /force使策略立即生效。
五、通过注册表启用可控文件夹访问（适用于家庭版）
Windows 10 家庭版不支持组策略编辑器，但可通过修改注册表实现相同效果。该方式直接写入系统底层开关值，要求以管理员身份运行注册表编辑器。
1、按【Win + R】键，输入regedit，回车并确认UAC提示。
2、导航至路径：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\Controlled Folder Access。
3、若路径不存在，需逐级右键新建【项】，确保完整路径一致。
4、在最终项内右键新建【DWORD (32位) 值】，命名为Value。
5、双击该值，将数值数据设为1，基数选【十六进制】，点击【确定】。
