windows 11中文件被defender误隔离后可原路还原：一、通过安全中心图形界面（win+s→“windows 安全中心”→“病毒和威胁防护”→“保护历史记录”→筛选“已隔离”→勾选还原）；二、用管理员powershell执行get-mpthreatdetection | where-object {$_.threatstatus -eq 'isolated'} | restore-mpthreat按id或文件名模糊匹配还原；三、用mpcmdrun.exe命令行工具执行"%programfiles%\windows defender\mpcmdrun.exe" -restore -name "完整文件名"。
Windows 11 系统在你刚下载完开发工具、Python 脚本或某个小众软件安装包后，文件突然消失不见——这大概率不是误操作，而是 Windows Defender 自动将其判定为潜在威胁并移入隔离区，而非彻底删除；只要未手动清空隔离区或覆盖磁盘，文件仍完整保留在受控存储中，可原路还原。
通过 Windows 安全中心图形界面恢复
这是最稳妥、零命令行风险的方式，适用于所有普通用户，且能直观确认文件名称、隔离时间与原始路径。
第一步：按下 Win + S，在搜索框输入“Windows 安全中心”，点击打开应用。
第二步：在左侧导航栏中，点击“病毒和威胁防护”。
第三步：向下滚动至“当前威胁”区域，点击右侧的“保护历史记录”→“查看完整历史记录”。
第四步：在历史记录页面顶部，点击“筛选器”下拉菜单，选择“已隔离”（注意：不是“已阻止”或“已删除”）；列表将立即刷新，显示全部被隔离项。
第五步：找到目标文件（可按“检测时间”倒序排列快速定位最新条目），勾选其左侧复选框，点击上方“还原”按钮；系统会弹出确认窗口，点击“是”即可执行还原。
【还原后文件将严格返回原始路径，而非桌面或文档等默认位置；若原路径已被删除（如整个文件夹被手动清空），还原会失败并提示错误】
用管理员 PowerShell 强制还原隔离项
当安全中心界面卡顿、隔离列表空白、或需批量还原多个文件时，PowerShell 是绕过 UI 层级限制的直接手段，它读取 Defender 底层威胁数据库，响应更底层。
方法一：交互式查ID再还原
右键“开始”按钮 → 选择“Windows PowerShell（管理员）” → 输入以下命令并回车：
Get-MpThreatDetection | Where-Object {$_.ThreatStatus -eq 'Isolated'} | Format-List DetectionTime, FileName, Path, ThreatID
从输出中识别目标文件的 ThreatID（一长串含字母数字的字符串），然后执行：
Restore-MpThreat -ThreatID "复制粘贴此处ThreatID"
方法二：按文件名模糊匹配还原（适合知道部分名称）
在同个管理员 PowerShell 中，输入：
Get-MpThreatDetection | Where-Object {$_.ThreatStatus -eq 'Isolated' -and $_.FileName -like "*setup*"} | ForEach-Object {Restore-MpThreat -ThreatID $_.ThreatID}
这条命令会自动还原所有文件名含“setup”的已隔离项，无需人工抄ID；但请确保通配符足够精准，避免误还原其他项目。
使用 MpCmdRun 命令行工具还原指定文件
该工具是 Defender 原生命令行组件，不依赖 PowerShell 模块，兼容性更强，特别适合脚本集成或旧版系统环境。
以管理员身份运行命令提示符（Win + R → 输入 cmd → Ctrl+Shift+Enter）。
输入命令并回车（注意：文件名必须与“保护历史记录”中显示的**完整名称**完全一致，包括扩展名和空格）：
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Restore -Name "Keil_uVision5_Install.exe"
若成功，终端将显示 The operation completed successfully.；若提示 No threats found，说明该名称未匹配到任何隔离项，请返回安全中心核对精确文件名。
【此命令不支持通配符，也不接受路径，只认隔离数据库中登记的原始文件名；大小写不敏感，但标点和空格必须完全一致】
访问隔离文件夹手动提取加密副本
仅限高级用户，用于取证分析或当其他方法全部失效时尝试提取原始数据流——但请注意：这些文件以 .vbn 或 .vdm 格式加密封装，无法直接双击打开，也无法解密为原始形态。
打开文件资源管理器 → 在地址栏粘贴：
C:\ProgramData\Microsoft\Windows Defender\Quarantine
按回车；若提示权限拒绝，点击“继续”获取所有权，或右键文件夹 → 属性 → 安全 → 编辑 → 添加当前用户 → 勾选“完全控制”。
进入后可见多个哈希命名的子文件夹，每个对应一个隔离事件；打开任一子文件夹，你会看到名为 QuarantineInfo.xml 的元数据文件（可用记事本打开查看原始路径和检测时间）和若干 xxx.vbn 加密体。
这一步操作本身不会触发还原，仅用于人工确认存在性；如需进一步处理，必须配合第三方解密工具（非微软提供），且成功率极低。常规恢复请优先使用前三法。
