windows 11专业版/企业版/教育版用户需启用虚拟化、虚拟机平台及windows沙盒功能，再通过optionalfeatures.exe或powershell部署，最后用.ws配置文件禁用网络与剪贴板以实现安全安装隔离。
当您在 Windows 11 中双击运行来历不明的安装包时频繁弹出“此应用可能有害”“已被阻止”或“Windows 已防止此应用更改您的设备”等警告，说明系统正通过多层机制主动拦截潜在风险——但这些拦截常误伤可信软件，而真正需要的是既能放行已知安全程序、又能将未知安装行为锁进独立环境的“应用安装隔离沙盒”。
确认系统与硬件前提条件
Windows 沙盒功能不是开关一开就生效的玩具，它依赖三个硬性基础：必须是专业版/企业版/教育版；CPU 虚拟化必须开启；系统级“虚拟机平台”组件必须启用。缺一不可，否则后续所有操作都会失败并报错 0x80070057。
第一步：按 Win + R 输入 winver 回车，核对窗口中版本名是否含 Professional、Enterprise 或 Education；家庭版用户请跳过本教程其余步骤。
第二步：按 Ctrl + Shift + Esc 打开任务管理器 → 切换到「性能」选项卡 → 点击左侧「CPU」→ 查看右侧「虚拟化」状态是否为“已启用”；若显示“已禁用”，需重启进 BIOS/UEFI 手动开启（Intel 平台找 VT-x，AMD 平台找 SVM Mode）。
第三步：仍在同一「性能」选项卡，点击左侧「内存」→ 向下滚动确认「已启用虚拟机平台」是否为“是”；若为“否”，说明即使虚拟化已开，系统组件仍未激活，必须先启用该功能才能继续。
通过 Windows 功能图形界面一键启用沙盒
这是最稳妥、容错率最高的方式，系统会自动识别并勾选全部必需依赖项，无需手动干预底层组件关系。
1、按 Win + R 输入 optionalfeatures.exe 回车，打开「Windows 功能」窗口。
2、向下滚动找到「Windows 沙盒」，在其前方复选框打勾；此时系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」——这两项绝不可取消勾选，否则沙盒无法启动。
3、点击「确定」，等待进度条走完；安装完成后弹出提示框，点击「立即重新启动」。
重启后，开始菜单中会出现「Windows 沙盒」图标，双击即可启动一个干净、一次性、与宿主系统完全隔离的桌面环境，所有安装行为关闭即销毁。
使用 PowerShell（管理员）强制部署全部依赖
适用于图形界面启用失败、组件勾选异常或系统映像损坏的场景。该命令绕过 UI 层，直接调用 DISM 接口强制安装沙盒及其全部底层驱动与服务模块。
方法一：以管理员身份运行终端 → 输入以下命令并回车：
Enable-WindowsOptionalFeature -Online -FeatureName "Containers-DisposableClientVM" -All -NoRestart
方法二：若上一步报错提示“虚拟机平台”未启用，补执行这条命令：
dism /online /enable-feature /featurename:"VirtualMachinePlatform" /all /norestart
执行完毕后必须重启电脑，否则新组件不会加载；重启后沙盒功能即注册完成，可在开始菜单直接调用。
配置沙盒启动参数禁用网络与剪贴板
默认沙盒允许网络访问和主机剪贴板同步，这对测试高风险安装包反而构成泄漏风险。可通过自定义 .wsb 配置文件实现强化隔离。
1、用记事本新建一个文本文件，粘贴以下内容：
2、保存为 no-net-no-clip.wsb（注意后缀必须是 .wsb，编码选 UTF-8）。
3、双击该文件，Windows 将以完全断网、禁用剪贴板的模式启动沙盒——此时安装包无法外连 C2 服务器，也无法窃取您刚复制的密码或路径。
