Windows 系统文件完整性保护（SFC/DISM）运维-windows运维-PHP中文网

windows系统文件保护由wrp机制自动强制运行，sfc和dism分别是检测修复工具与映像源修复工具；sfc扫描并替换受损文件，dism修复其依赖的winsxs映像源，二者需配合使用。

windows 系统文件完整性保护不是靠某个开关或设置来“开启”，而是由 windows 资源保护（windows resource protection, wrp）机制在后台自动运行并强制生效的。sfc 和 dism 是你用来检测、验证和修复这一保护机制下受损文件的运维工具，而非启用该保护本身的手段。

简单说：保护本身一直开着；你用 SFC/DISM，是在给它做体检和手术。

一、SFC 是什么？它能做什么？

SFC（System File Checker）是系统自带的“文件校验员”。
它不负责实时监控，而是在你主动运行时，扫描所有受 WRP 保护的系统文件（比如 dll、exe、sys 等核心组件），比对它们与 WinSxS 文件夹中缓存的原始副本是否一致。

✅ 能发现被篡改、损坏、丢失的受保护文件
✅ 自动从本地 WinSxS 缓存中提取正确版本替换
❌ 无法修复 WinSxS 本身已损坏的情况（这时需 DISM）

常用命令：

sfc /scannow — 全盘扫描+修复（最常用）
sfc /verifyonly — 只检查，不修复（适合快速诊断）
sfc /scanfile=C:\Windows\System32\kernel32.dll — 针对单个文件检查

执行后看结果提示：

“未找到任何完整性冲突” → 当前系统文件层健康
“已成功修复损坏文件” → 问题已处理
“发现损坏但无法修复” → 底层映像可能坏了，该上 DISM

二、DISM 是什么？为什么 SFC 修不了时得靠它？

DISM（Deployment Image Servicing and Management）管的是 SFC 的“零件仓库”——也就是系统映像（特别是 C:\Windows\WinSxS 目录背后的那个底层映像）。
如果这个仓库本身损坏了，SFC 就像修车师傅找不到完好的备件，再扫十遍也白搭。

所以 DISM 的核心任务是：修复映像源。它可以从三个地方拉取健康文件：

默认：联网从 Windows Update 下载（最常用）
指定：挂载的 ISO 或安装介质里的 \sources\sxs 文件夹（离线环境必备）
限制访问：加 /LimitAccess 参数可禁用在线源，强制走本地路径

关键命令顺序（推荐组合）：

DISM /Online /Cleanup-Image /CheckHealth   ← 快速摸底
DISM /Online /Cleanup-Image /ScanHealth    ← 深度确认
DISM /Online /Cleanup-Image /RestoreHealth ← 实际修复（耗时较长）

完成后务必再跑一次 sfc /scannow，验证修复是否落地。

三、常见卡点与应对建议

DISM 报错“服务未运行”或“拒绝访问”
→ 打开 services.msc，找到 Windows Module Installer，设为“手动”并启动它。
DISM 提示“找不到源”或下载超时
→ 挂载一个 Windows 安装 ISO（如 D:\），用这条命令指定本地源：
DISM /Online /Cleanup-Image /RestoreHealth /Source:D:\sources\sxs /LimitAccess
系统根本进不去桌面（蓝屏/卡登录）
→ 进 WinRE（开机按住 Shift + 重启 → 疑难解答 → 高级选项 → 命令提示符），然后执行：
DISM /Image:C:\ /Cleanup-Image /RestoreHealth /Source:D:\sources\sxs /LimitAccess（注意是 /Image: 而非 /Online）
再执行 sfc /scannow /offbootdir=C:\ /offwindir=C:\Windows
修复后仍反复出问题
→ 不是工具没用，而是硬件（如坏扇区）、驱动冲突或恶意软件在持续破坏。建议同步查磁盘（chkdsk C: /f）、查病毒、回退可疑更新或驱动。