必须开启“应用安装保护隔离模式”，该模式通过appcontainer容器化执行、安装行为实时拦截与低完整性进程启动三类机制协同生效；启用智能应用控制强制执行、配置appcontainer组策略、关闭smartscreen及启用windows sandbox为四种独立有效方法。
当您需要在 Windows 11 中安全运行来源不明的第三方安装程序（如未签名的 EXE、MSI 或便携版工具），又担心其静默修改注册表、写入系统目录或添加开机启动项时，必须开启“应用安装保护隔离模式”。该模式不是单个开关，而是通过 AppContainer 容器化执行、安装行为实时拦截与低完整性进程启动三类机制协同生效，缺一不可。
启用智能应用控制强制执行安装隔离
这是最基础且兼容性最强的方法，适用于所有 Windows 11 版本，无需虚拟化支持，直接调用 Windows 安全中心内置的云信誉引擎拦截异常安装行为。
1、按下 Win + I 打开设置 → 左侧点击“隐私和安全性” → 右侧点击“Windows 安全中心”。
2、点击“应用与浏览器控制”卡片 → 向下滚动至“智能应用控制”区域 → 点击“管理智能应用控制”。
3、将主开关切换为“开”状态 → 在弹出的策略模式中【必须选择“强制执行”】，选“审核”仅记录不拦截，无法提供实际防护。
4、等待系统自动下载并加载最新策略包 → 点击“立即重新启动”使策略生效。重启后，所有未签名或低声誉的安装程序在调用 CreateProcess 或 msiexec 的瞬间即被终止。
配置 AppContainer 强制容器化运行（专业版/企业版/教育版）
此方法让已签名且经微软声誉验证的 Win32 安装程序（如正规厂商发布的 MSI 封装器）自动以低完整性级别启动，无法写入 HKEY_LOCAL_MACHINE、无法访问其他用户文档、无法注册系统服务。
1、按下 Win + R，输入 gpedit.msc 并回车，以管理员权限打开本地组策略编辑器。
2、依次展开：计算机配置 → 管理模板 → Windows 组件 → App Package Deployment。
3、双击右侧“启用应用容器化部署”策略 → 选择“已启用” → 点击“确定”。
4、关闭组策略编辑器 → 重启系统。注意：【此策略仅对带有效数字签名且通过微软声誉验证的安装程序生效】，自签名或无签名程序不受影响，需配合智能应用控制使用。
关闭 SmartScreen 安装级拦截（谨慎操作）
SmartScreen 会校验本地安装文件哈希与云端数据库，若匹配失败则默认阻止——这对测试已知安全但分发量小的工具很不友好。关闭它可解除误拦，但务必确保文件来源可信。
方法一：图形界面快速关闭
1、搜索并打开“Windows 安全中心” → 点击“应用与浏览器控制” → 点击“基于声誉的保护设置”。
2、找到“适用于 Microsoft Store 和其他应用的 SmartScreen” → 将其设为“关” → 点击右上角“保存更改” → 重启生效。
方法二：PowerShell 命令强制禁用（管理员终端）
1、右键“开始”→ 选择“终端（管理员）” → 输入以下命令并回车：
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System" -Name "EnableSmartScreen" -Value 0 -Type DWord
2、执行后无需重启，SmartScreen 安装拦截立即失效。注意：【关闭后系统将不再校验任何本地安装包的云端信誉】，仅建议在受控测试环境中临时使用。
启用 Windows Sandbox 实现虚拟化级隔离（高风险场景首选）
当您要运行完全未知的流氓软件安装包，且要求“运行完即彻底清零、不留任何痕迹”，就必须启用 Windows Sandbox。它每次启动都从只读镜像初始化，关闭后所有磁盘写入、注册表修改、服务注册全部销毁。
第一步：确认前置条件
① 按 Win + R 输入 winver 回车 → 确认版本含 Professional / Enterprise / Education；
② 按 Ctrl + Shift + Esc 打开任务管理器 → 「性能」选项卡 → 「CPU」页查看「虚拟化」是否为“已启用”；
③ 同一界面点「内存」→ 确认「已启用虚拟机平台」为“是”。若任一为“否”，需进 BIOS 开启 CPU 虚拟化并启用 Windows 功能中的“虚拟机平台”。
第二步：启用功能
1、按 Win + R 输入 optionalfeatures.exe 回车 → 勾选“Windows 沙盒” → 系统自动勾选依赖项“虚拟机平台”和“Windows Hypervisor Platform”；
2、点击“确定” → 等待安装完成 → 点击“立即重新启动”。
第三步：使用沙盒
重启后，直接在开始菜单搜索“Windows Sandbox”并启动 → 将待测安装包拖入沙盒窗口 → 正常双击运行 → 测试完毕直接关闭窗口，所有痕迹消失。
