需开启“应用安装保护模式”，该模式融合windows sandbox虚拟化隔离、appcontainer容器化约束及受控文件夹访问三层技术，通过启用sandbox、配置appcontainer策略、创建禁网.wsb文件、powershell强制启用依赖、组策略设低完整性启动五种互不依赖方式实现。
如果您希望在 Windows 11 中为未知来源的流氓软件提供运行隔离环境，防止其写入系统关键路径、修改注册表或建立持久化连接，则需开启“应用安装保护模式”。该模式并非单一开关，而是融合 Windows Sandbox 全虚拟化隔离、AppContainer 容器化执行约束及受控文件夹访问三层技术的组合防护机制。以下是多种可独立启用、互不依赖的实施方法：
一、启用 Windows Sandbox 实现一次性虚拟化级安装隔离
此方法基于 Hyper-V 构建轻量级虚拟机实例，每次启动均从只读镜像初始化，所有安装行为（包括磁盘写入、服务注册、启动项添加）均与宿主系统物理隔离；关闭后全部痕迹自动销毁，适用于高风险安装包测试。
1、按 Win + R 键，输入 winver 并回车，确认系统版本名称中包含 Professional、Enterprise 或 Education。
2、按 Ctrl + Shift + Esc 打开任务管理器，切换至「性能」选项卡，点击左侧「CPU」，查看右侧「虚拟化」状态是否为 已启用。
3、仍在同一界面点击左侧「内存」，确认「已启用虚拟机平台」显示为 是；若为「否」，需进入 BIOS/UEFI 启用 CPU 虚拟化并开启虚拟机平台组件。
4、按 Win + R 键，输入 optionalfeatures.exe 并回车，打开「Windows 功能」窗口。
5、向下滚动，勾选 Windows 沙盒 复选框；系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」两项依赖项。
6、点击「确定」，等待安装完成，出现提示后点击「立即重新启动」。
二、配置 AppContainer 容器化策略限制 Win32 安装程序权限
此方法利用 Windows 内置的 AppContainer 运行时沙箱机制，强制对已签名且经微软声誉验证的 Win32 安装程序（如 MSI 封装器、带数字签名的 EXE）以低完整性级别运行，禁止其写入系统目录、枚举用户文档、调用驱动接口或注入其他进程，无需虚拟化支持，兼容所有 Windows 11 版本。
1、按下 Win + I 组合键，打开「设置」应用。
2、在左侧菜单中点击「隐私和安全性」，然后在右侧找到并点击「Windows 安全中心」。
3、在安全中心主界面，点击「应用与浏览器控制」卡片。
4、向下滚动至「基于声誉的保护」区域，点击「应用执行控制设置」。
5、将「启用应用执行控制」开关切换为 开 状态。
6、点击「管理受控文件夹访问」，确保「受控文件夹访问」处于 启用 状态；该功能会阻止未授权应用修改文档、图片、桌面等关键用户目录。
三、创建自定义 .wsb 配置文件禁用网络并挂载只读安装源
此方法通过编写 Windows Sandbox 配置文件（.wsb），在启动沙盒时主动禁用剪贴板共享与网络连接，并以只读方式挂载本地安装包所在目录，彻底切断流氓软件外连、横向渗透及宿主文件篡改路径，实现强化级隔离。
1、用记事本新建一个文本文件，输入以下内容：
2、将文件保存为 SecureInstaller.wsb，注意编码选择 UTF-8，扩展名必须为 .wsb。
3、将待测试的安装包（如 setup.exe）复制至 C:Installers 目录。
4、双击运行 SecureInstaller.wsb 文件，等待沙盒启动完成。
5、在沙盒内打开文件资源管理器，进入 \sandboxhostc$Installers 路径，双击运行安装程序。
6、安装完成后直接关闭沙盒窗口，所有操作痕迹即被清除。
四、通过 PowerShell（管理员权限）强制启用全部沙盒依赖组件
该方式绕过图形界面限制，直接调用系统映像服务接口，强制安装「虚拟机平台」「Windows Hypervisor Platform」及「Windows Sandbox」所需的所有驱动、服务及用户态模块，适用于图形界面异常、功能勾选失败或需批量部署的场景。
1、右键点击「开始」按钮，选择「终端（管理员）」。
2、在弹出的用户账户控制窗口中，点击「是」以确认提升权限。
3、依次执行以下命令：
Enable-WindowsOptionalFeature -Online -FeatureName "Containers-DisposableClientVM" -NoRestart
4、执行第二条命令：
Enable-WindowsOptionalFeature -Online -FeatureName "VirtualMachinePlatform" -NoRestart
5、执行第三条命令：
Enable-WindowsOptionalFeature -Online -FeatureName "Microsoft-Windows-Subsystem-Linux" -NoRestart
6、执行最后一条命令：
Enable-WindowsOptionalFeature -Online -FeatureName "Windows-Sandbox" -NoRestart
7、全部命令执行完毕后，输入 shutdown /r /t 0 立即重启系统。
五、使用组策略编辑器强制所有 Win32 应用以低完整性级别启动
此方法适用于 Windows 11 专业版、企业版或教育版，通过配置全局进程启动策略，使所有 Win32 应用（含安装程序）默认以低完整性级别（Low IL）启动，从而天然受限于 Mandatory Integrity Control 机制，无法写入高完整性对象（如系统注册表分支、Program Files 目录、高权限进程内存空间）。
1、按 Win + R 键，输入 gpedit.msc 并回车（家庭版不可用，跳过此方法）。
2、依次展开路径：计算机配置 → 管理模板 → 系统 → 应用程序兼容性。
3、在右侧找到并双击「设为低完整性级别启动所有 Win32 应用」策略（若不存在，说明系统未启用该策略模板；可跳至注册表方式）。
4、勾选「已启用」，点击「确定」。
5、再次按 Win + R，输入 cmd 并回车，在命令提示符中执行：gpupdate /force。
6、重启系统后，所有新启动的 Win32 进程将自动运行于低完整性上下文中。
