windows sandbox是win11专业版/企业版/教育版内置的轻量级沙盒，依赖hyper-v、cpu虚拟化及虚拟机平台组件，启用后每次运行均为纯净实例，关闭即彻底清除所有痕迹。
您需要在 Windows 11 中安全隔离运行未知风险程序，防止其写入注册表、添加启动项、静默安装组件或窃取主机文件，必须启用系统内置的“沙盒模式隔离测试”机制——即 Windows Sandbox 功能。该功能仅在专业版、企业版或教育版中可用，每次启动均为纯净 Win11 实例，关闭后所有进程、磁盘写入、网络连接与临时文件自动销毁，不留任何痕迹。
确认系统版本与硬件虚拟化就绪
这一步不可跳过，否则后续所有启用操作都会失败或启动时报错“无法创建虚拟机”。Windows Sandbox 是基于 Hyper-V 的轻量级虚拟机，硬性依赖三项条件：系统版本、CPU 虚拟化开关、虚拟机平台组件。
按下 Win + R，输入 winver 并回车，核对弹出窗口中版本名称是否包含 Professional、Enterprise 或 Education；家庭版用户请直接停止操作，该功能原生不可用。
按下 Ctrl + Shift + Esc 打开任务管理器，切换至「性能」选项卡→点击左侧「CPU」，右侧「虚拟化」状态必须显示为已启用；若为“已禁用”，需立即重启并进 BIOS/UEFI 设置（常见按键：Del、F2、Esc），在 Advanced → CPU Configuration（Intel）或 Security → SVM Mode（AMD）中设为 Enabled。
仍在同一界面，点击左侧「内存」，向下滚动确认「已启用虚拟机平台」为是；若为“否”，仅启用 BIOS 虚拟化还不够，必须通过 PowerShell 单独开启该组件（见下一节方法二步骤3）。
通过 Windows 功能图形界面启用沙盒
这是最稳妥、容错率最高的方式，系统会自动识别并勾选全部必需依赖项，适合绝大多数用户。它调用的是系统内置的 optionalfeatures.exe 管理器，不依赖网络下载额外镜像，全程可视化。
按下 Win + R，输入 optionalfeatures.exe 并回车，打开「Windows 功能」窗口。
向下滚动，找到并勾选 Windows 沙盒 复选框；此时系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」——这两项绝不可手动取消，否则沙盒无法启动。
点击「确定」，等待进度条走完，出现提示框后点击「立即重新启动」。重启完成后，即可在开始菜单搜索并运行 Windows Sandbox。
使用 PowerShell（管理员权限）强制启用全部依赖
当图形界面中找不到「Windows 沙盒」选项、勾选后无反应、或重启后仍提示“找不到此应用”时，说明系统底层模块未正确注册，必须用 PowerShell 强制安装。此方式直通映像服务接口，绕过 GUI 层限制。
方法一：一次性启用全部核心组件
右键「开始」按钮 → 选择「终端（管理员）」→ 在 UAC 提示中点击「是」→ 依次执行以下三条命令，每条后按回车：
Enable-WindowsOptionalFeature -Online -FeatureName VirtualMachinePlatform -All
Enable-WindowsOptionalFeature -Online -FeatureName WindowsHypervisorPlatform -All
Enable-WindowsOptionalFeature -Online -FeatureName WindowsSandbox -All
方法二：仅启用沙盒（适用于已确认虚拟机平台就绪）
若任务管理器中「已启用虚拟机平台」已显示为“是”，可跳过前两步，直接运行：Enable-WindowsOptionalFeature -Online -FeatureName WindowsSandbox -All。
每条命令执行后需等待返回“操作成功完成”，全部完成后重启电脑。重启后首次启动 Windows Sandbox 会加载基础镜像，耗时约 10–20 秒，无需额外配置即可使用。
创建禁网 .wsb 配置文件强化隔离
默认沙盒允许联网，可能被恶意程序用于外连 C2 服务器或下载载荷。如需彻底断网测试，必须手动创建一个禁用网络的配置文件，否则沙盒内仍可访问互联网。
用记事本新建一个纯文本文件，粘贴以下内容：
将文件保存为 no-internet.wsb（注意扩展名必须是 .wsb，编码选 UTF-8），双击即可以无网络模式启动沙盒。
【重要】文件名必须以 .wsb 结尾，且不能有空格或中文字符，否则双击无响应。
此后每次双击该文件，启动的沙盒实例将完全隔离网络，所有 DNS 请求、TCP 连接、ICMP 探测均被拦截，确保测试过程零外联。
