需启用windows 11内置文件完整性扫描机制，包括：一、任务计划程序每日静默运行sfc；二、每周dism映像健康检查；三、整合式批处理脚本实现映像修复与文件扫描联动；四、开启windows安全中心篡改防护；五、powershell启用受控文件夹访问并添加白名单。
如果您希望在 Windows 11 中主动识别并防范系统关键文件因意外写入、磁盘错误或软件冲突导致的损坏，则需启用内置的“文件完整性扫描”自动维护机制。该机制依托 SFC 与 DISM 工具链，结合任务调度与日志反馈，实现无人值守的周期性校验与基础修复。以下是实现该目标的多种可行方法：
一、使用任务计划程序创建每日 SFC 静默扫描任务
该方法通过 Windows 内置的任务计划程序，在指定时间以管理员权限静默运行 sfc /scannow，仅执行只读校验并将结果完整记录至日志文件，不触发交互式界面，适合后台自动化维护。
1、按下 Win + R 键，输入 taskschd.msc 并按回车，打开任务计划程序。
2、在右侧面板中点击“创建基本任务”，命名为 每日文件完整性扫描，点击下一步。
3、选择“每天”作为触发器，设置起始日期与具体时间（建议选凌晨 2:00–4:00 系统空闲时段），点击下一步。
4、在操作类型中选择“启动程序”，点击下一步。
5、在“程序或脚本”栏输入 cmd.exe，在“添加参数”栏输入 /c sfc /scannow > C:\Windows\Logs\sfc_daily.log 2>&1，点击下一步。
6、勾选“当点击完成时，打开属性对话框”，点击完成；在属性窗口中切换至“常规”选项卡，勾选“使用最高权限运行”，并确认“配置为”下拉菜单中选择 Windows 11。
二、部署 DISM 映像健康检查前置任务
由于 SFC 的修复能力依赖于系统映像（WinRE 和组件存储）的完整性，若映像本身受损，SFC 可能无法完成修复。DISM /CheckHealth 命令可快速评估映像运行状态，作为 SFC 扫描前的轻量级健康门控，避免无效扫描。
1、在任务计划程序中新建另一项基本任务，命名为 每周映像健康检查。
2、设置触发器为每周一次，建议安排在 SFC 任务前一日的同一时段执行。
3、操作类型选“启动程序”，“程序或脚本”填入 cmd.exe，“添加参数”填入 /c DISM /Online /Cleanup-Image /CheckHealth > C:\Windows\Logs\dism_check.log 2>&1。
4、完成设置后，启用“使用最高权限运行”选项，并确保“配置为”下拉菜单中选定 Windows 11。
三、封装 SFC 与 DISM 的批处理脚本并定时调用
单一命令无法覆盖从映像校验、映像修复到文件校验的完整链条。将 DISM 映像检查与 SFC 文件扫描合并为一个带条件跳转的批处理脚本，可确保每次扫描均基于已验证健康的映像源启动，提升完整性维护的可靠性。
1、用记事本新建文本文件，输入以下内容：
@echo off DISM /Online /Cleanup-Image /CheckHealth IF %ERRORLEVEL% NEQ 0 ( echo [WARN] 映像存在健康问题，执行修复... DISM /Online /Cleanup-Image /RestoreHealth /Source:esd://C:\Windows\System32\Recovery\WindowsRE.wim:1 /LimitAccess ) sfc /scannow > C:\Windows\Logs\sfc_full.log 2>&1 echo [INFO] 完整性扫描已完成，日志已保存。
2、将文件另存为 integrity_scan.bat，保存位置建议为 C:\Windows\System32\（需管理员权限写入）。
3、在任务计划程序中创建新基本任务，命名为 整合式完整性维护。
4、“程序或脚本”栏填入该批处理文件的完整路径，例如：C:\Windows\System32\integrity_scan.bat。
5、务必勾选“使用最高权限运行”，并设置为每月第一日执行。
四、启用 Windows 安全中心的篡改防护功能
该功能属于行为级防护，不依赖周期性扫描，而是实时监控注册表项、系统目录及关键进程的写入行为，阻止未签名或异常进程修改受保护系统路径（如 %windir%\System32、%windir%\SysWOW64），从源头降低文件被恶意篡改的风险。
1、按 Win + I 打开设置，进入 隐私和安全性 → Windows 安全中心 → 病毒和威胁防护。
2、向下滚动至“管理设置”区域，点击“篡改防护”右侧的开关按钮。
3、在弹出窗口中，将“篡改防护”设为“开”。
4、系统将自动启用并锁定以下核心保护项：阻止对受保护文件夹的更改、阻止对受保护注册表项的更改、阻止对受保护进程的注入。
五、通过 PowerShell 启用受控文件夹访问并添加白名单
受控文件夹访问是 Windows 安全中心中一项针对性更强的防护策略，专用于防止勒索软件类程序批量加密用户文档、图片等高价值数据文件。启用后，仅经微软签名或手动授权的应用才可写入受保护文件夹，间接保障文件内容不被非法覆盖或破坏。
1、以管理员身份运行 PowerShell（右键“开始”按钮 → 终端(管理员)）。
2、执行以下命令启用功能：Set-MpPreference -EnableControlledFolderAccess Enabled。
3、执行以下命令添加常用办公软件为例外：Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE"。
4、继续添加其他必要程序，例如：EXCEL.EXE、POWERPNT.EXE、notepad.exe。
5、验证当前状态：Get-MpPreference | Select-Object EnableControlledFolderAccess, ControlledFolderAccessProtectedFolders，确认输出中 EnableControlledFolderAccess 值为 True。
