需启用windows 11应用隔离机制：一、通过安全中心开启内存完整性；二、组策略启用device guard；三、注册表配置enableappcontainerisolation；四、msix工具重打包注入容器清单。
如果您希望在 Windows 11 中增强应用程序运行时的隐私隔离能力，防止应用越权访问敏感资源或跨进程窃取数据，则需启用系统内置的应用隔离机制。该机制依托 AppContainer 容器化沙箱与最低特权原则，对 Win32 和 MSIX 应用实施运行时边界控制。以下是实现此目标的多种可行方法：
一、通过Windows安全中心启用基于虚拟化的应用隔离
此方法利用 Windows 安全中心统一入口，激活内核级隔离策略，使兼容应用自动以低完整性 AppContainer 进程启动，并限制其对注册表、文件系统及高权限 API 的默认访问范围。
1、按下键盘上的 Win + I 组合键，打开“设置”应用。
2、在左侧菜单中点击“隐私和安全性”，然后在右侧找到并点击“Windows 安全中心”。
3、在安全中心主界面，点击“设备安全性”卡片。
4、向下滚动至“内核隔离”区域，点击“核心隔离详细信息”。
5、将“内存完整性”开关切换为“开”状态；该设置是启用 AppContainer 强制隔离的前提条件。
6、系统弹出提示要求重启，点击“立即重新启动”使配置生效。
二、使用本地组策略编辑器强制启用AppContainer运行模式
此方法适用于 Windows 11 专业版、企业版或教育版用户，可绕过图形界面限制，直接配置 Device Guard 策略，确保所有经签名验证的 Win32 应用在启动时被系统识别为 AppContainer 进程，并应用默认安全描述符。
1、按下 Win + R 打开“运行”对话框，输入 gpedit.msc 并按回车，以管理员权限启动组策略编辑器。
2、依次展开路径：计算机配置 → 管理模板 → 系统 → Device Guard。
3、在右侧窗格中，双击“启用基于虚拟化的安全性”策略。
4、选择“已启用”，并在下方选项中勾选“启用内存完整性保护”与“启用代码完整性策略”。
5、点击“确定”保存设置，关闭组策略编辑器。
6、重启计算机后，系统将强制所有支持的应用在 AppContainer 沙箱中加载。
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
三、通过注册表编辑器配置应用容器默认完整性级别
此方法适用于 Windows 11 家庭版（无组策略）或图形界面异常失效场景，直接修改 AppContainer 启用标志与完整性等级参数，属于底层运行时策略控制方式；操作前务必创建系统还原点。
1、按下 Win + R，输入 regedit 并按回车，以管理员权限打开注册表编辑器。
2、导航至以下路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity
3、在右侧窗格中，查找名为 Enabled 的 DWORD (32位) 值；若不存在，右键空白处 → 新建 → DWORD (32位) 值，并命名为 Enabled。
4、双击 Enabled，将其“数值数据”设置为 1，基数选择“十进制”。
5、在相同路径下，右键 → 新建 → DWORD (32位) 值，命名为 EnableAppContainerIsolation。
6、双击该新值，将其“数值数据”设为 1，确保系统启用 AppContainer 隔离策略。
四、通过MSIX打包工具为传统应用注入AppContainer清单
此方法适用于需要对特定第三方 Win32 应用（如浏览器插件宿主、PDF阅读器等）实施精细隔离的场景，通过重打包方式为其添加应用功能声明与受限能力清单，使其在启动时自动进入 AppContainer 环境。
1、从 Microsoft Store 下载并安装 “MSIX Packaging Tool” 工具。
2、启动该工具，点击“开始打包”，选择目标应用的安装程序或已安装路径。
3、在“功能声明”步骤中，取消勾选所有非必要权限（如“企业数据保护”、“后台任务”、“网络摄像头”等）。
4、在“应用能力”部分，仅保留“internetClient”与“appData”两项基础能力；其余能力将导致容器边界失效。
5、完成打包后生成 .msixbundle 文件，在 PowerShell（管理员）中执行：Add-AppxPackage -Register ".\AppxManifest.xml"
6、安装完成后，该应用将以 AppContainer 进程启动，所有磁盘写入被重定向至独立容器存储区。
