需启用Windows Sandbox、AppContainer容器化策略及自定义.wsb配置三类技术组合实现应用安装隔离沙盒保护：一、启用Windows Sandbox实现全环境级隔离；二、配置AppContainer限制Win32应用权限；三、创建禁用网络的.wsb文件增强隔离强度。
如果您希望在 Windows 11 中提升运行未知程序时的安全性，防止其擅自修改系统、读取敏感文件或建立持久化连接，则需启用“应用安装隔离沙盒保护”机制。该机制并非单一开关，而是通过组合启用 Windows Sandbox（完整虚拟化沙盒）、AppContainer 容器化执行环境及受控文件夹访问三类底层隔离技术实现。以下是三种可独立部署、互不依赖的启用方法：
一、启用 Windows Sandbox 实现全环境级隔离
此方法基于 Hyper-V 构建轻量级虚拟机，在完全独立的操作系统实例中运行未知程序，所有磁盘写入、注册表修改与网络活动均与宿主系统物理隔离，关闭后自动销毁全部痕迹。适用于高风险程序测试场景。
1、按下 Win + R 键，输入 winver 并回车，确认系统版本名称中包含 Professional、Enterprise 或 Education。
2、按下 Ctrl + Shift + Esc 打开任务管理器，切换至「性能」选项卡，点击左侧「CPU」，查看右侧「虚拟化」状态是否为已启用。
3、仍在同一界面点击左侧「内存」，确认「已启用虚拟机平台」显示为是；若为否，请进入 BIOS/UEFI 启用 CPU 虚拟化并开启虚拟机平台组件。
4、按下 Win + R，输入 optionalfeatures.exe 并回车，打开「Windows 功能」窗口。
5、向下滚动，勾选「Windows 沙盒」复选框；系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」两项依赖项。
6、点击「确定」，等待安装完成，出现提示后点击「立即重新启动」。
二、配置 AppContainer 容器化运行策略限制 Win32 应用权限
此方法利用 Windows 内置的 AppContainer 沙箱机制，强制对已签名且经微软声誉验证的 Win32 应用实施低完整性级别运行，限制其访问用户文档、注册表 HKEY_CURRENT_USER 以外分支、设备驱动及跨进程通信能力，无需虚拟化支持，兼容所有 Windows 11 版本。
1、按下 Win + I 组合键，打开「设置」应用。
2、在左侧菜单中点击「隐私和安全性」，然后在右侧找到并点击「Windows 安全中心」。
3、在安全中心主界面，点击「应用与浏览器控制」卡片。
Windows 桌面自动化技能，支持鼠标控制（移动/点击/拖拽/滚轮/截图）、键盘输入（文字输入/按键/组合键）、窗口管理（查找/聚焦/最大化/最小化/关闭/移动）、截图并发送文件。提供两种截图方式：Python pyautogui 截图（集成在自动化流程中）和 PowerShell + .NET 零依赖截图（支持区域截图和多显示器）。当用户需要自动化 Windows 桌面操作、控制鼠标键盘、管理窗口、执行 GUI 自动化任务、截图发送文件时使用。
4、向下滚动至「基于声誉的保护」区域，点击「应用执行控制设置」。
5、将「启用应用执行控制」开关切换为开状态。
6、点击「管理受控文件夹访问」，确保该功能处于启用状态；此设置会阻止未授权应用修改桌面、文档、图片等关键用户目录。
7、系统提示需要重启以加载新策略，点击「立即重新启动」使隔离规则生效。
三、创建自定义 .wsb 配置文件禁用网络并增强沙盒隔离强度
此方法通过编写 XML 格式的 Windows Sandbox 配置文件（.wsb），显式关闭网络连接、禁用打印机重定向与视频输入，并保留剪贴板重定向以维持基本操作效率，从而在保留沙盒核心隔离能力的同时，彻底阻断未知程序外联、横向渗透及数据回传路径。
1、使用记事本新建一个空白文本文件，粘贴以下内容：
2、点击「文件」→「另存为」，将文件名设为 NoNetworkSandbox.wsb，保存类型选择「所有文件」，编码选择 UTF-8。
3、双击该 .wsb 文件，Windows Sandbox 将以无网络模式启动。
4、在沙盒内运行未知程序前，请确认右下角网络图标显示为灰色叉号，表示网络连接已成功禁用。
