需启用windows sandbox、appcontainer及自定义.wsb配置三类技术组合实现沙盒隔离：一、启用windows sandbox实现全环境级隔离；二、配置appcontainer限制win32应用权限；三、创建禁用网络的.wsb文件增强隔离强度。
如果您希望在 Windows 11 中安全运行陌生 EXE 文件，避免其修改注册表、写入启动项、访问用户文档或建立外连，需启用“沙盒隔离”测试模式。该模式并非单一开关，而是通过组合调用 Windows Sandbox 虚拟化隔离、AppContainer 容器化执行约束及自定义 .wsb 配置三类技术实现进程级与环境级双重防护。以下是三种可独立部署、互不依赖的启用方法：
一、启用 Windows Sandbox 实现完整虚拟化级隔离
此方法基于 Hyper-V 构建一次性轻量级虚拟机，在完全独立的操作系统实例中运行陌生 EXE 文件，所有磁盘写入、服务注册、注册表变更与网络活动均与宿主系统物理隔离；关闭沙盒窗口后，全部痕迹自动清除，不留任何残留。适用于高风险可执行文件的深度行为分析。
1、按下 Win + R 键，输入 winver 并回车，确认系统版本名称中包含 Professional、Enterprise 或 Education。
2、按下 Ctrl + Shift + Esc 打开任务管理器，切换至「性能」选项卡，点击左侧「CPU」，查看右侧「虚拟化」状态是否为 已启用。
3、仍在同一界面点击左侧「内存」，确认「已启用虚拟机平台」显示为 是；若为「否」，需进入 BIOS/UEFI 启用 CPU 虚拟化并开启虚拟机平台组件。
4、按下 Win + R 键，输入 optionalfeatures.exe 并回车，打开「Windows 功能」窗口。
5、向下滚动，勾选 Windows 沙盒 复选框；系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」两项依赖项，请勿取消勾选。
6、点击「确定」，等待安装完成，出现提示后点击 立即重新启动。
二、配置 AppContainer 容器化策略限制陌生 EXE 运行权限
此方法利用 Windows 内置的 AppContainer 沙箱机制，强制对已签名且经微软声誉验证的 Win32 EXE 文件（如安装包、便携工具）以低完整性级别运行，禁止其写入 HKEY_LOCAL_MACHINE、枚举其他用户目录、调用驱动接口、注入进程或访问受控文件夹；无需虚拟化支持，兼容所有 Windows 11 版本，包括家庭版。
1、按下 Win + I 组合键，打开「设置」应用。
2、在左侧菜单中点击「隐私和安全性」，然后在右侧找到并点击「Windows 安全中心」。
3、在安全中心主界面，点击「应用与浏览器控制」卡片。
4、向下滚动至「基于声誉的保护」区域，点击「应用执行控制设置」。
5、将「启用应用执行控制」开关切换为 开 状态。
6、返回上一级，点击「受控文件夹访问」，将主开关设为 开，并添加目标 EXE 所在文件夹至受保护列表。
三、创建禁用网络的 .wsb 配置文件实现强化隔离
此方法通过编写自定义 .wsb 配置文件，在启动 Windows Sandbox 时显式禁用网络连接、限制内存使用并挂载只读共享文件夹，防止陌生 EXE 文件外连回传、内存驻留或静默覆盖主机文件，适用于需严格离线分析的场景。
1、使用记事本新建一个文本文件。
2、输入以下内容（注意使用英文半角符号，无空格错误）：
[settings]
network=disable
vGpu=enable
memoryInMB=2048
mappedFolders=[{"hostFolder": "C:\Samples", "sandboxFolder": "C:\ReadOnly", "readOnly": true}]
3、点击「文件」→「另存为」，将文件名设为 offline-test.wsb，保存类型选择 所有文件，编码选 UTF-8。
4、将待测陌生 EXE 文件复制至主机 C:Samples 目录下。
5、双击 offline-test.wsb 文件启动沙盒，进入后从 C:ReadOnly 目录运行该 EXE 文件。
