文件被windows defender实时保护直接删除而非隔离，需先用命令行检查是否仅被隐藏属性锁定；再通过安全日志（事件id 1116）确认原始路径；最后用卷影副本或recuva恢复，并添加defender排除项永久放行。
你刚从官网下载完一个绿色版工具，双击安装包却弹出“文件包含病毒或潜在的垃圾软件”，紧接着文件被自动删除——不是隔离，是直接从硬盘上抹掉，连回收站都找不到。这种删除由Windows Defender的实时保护模块主动触发，发生在文件写入磁盘的瞬间，根本来不及手动干预。
确认文件是否真被删光
别急着重下，先查它到底还在不在。按下Win + R，输入cmd并以管理员身份运行→输入dir /a /s "C:\Users\%username%\Downloads\*.exe"回车→重点看输出里有没有带时间戳接近你下载时刻的.exe文件。如果结果为空，说明已被彻底擦除；如果显示某条路径（比如C:\Users\John\Downloads\tool_v2.1.exe），说明它只是被隐藏了属性。
这一步必须做，因为很多所谓“被删”的EXE其实只是被Defender加了系统+隐藏+只读三重属性锁死，文件本体完好无损。
从系统日志里捞出原始文件名和路径
Windows会把每一次拦截动作记进安全日志，哪怕文件已消失，记录仍在。按Win + R输入eventvwr.msc→左侧展开“Windows 日志”→点击“安全”→右键“筛选当前日志”→在“事件ID”框填入1116（Defender删除文件的标准ID）→点确定→找到最近一条记录→双击打开→切换到“详细信息”选项卡→拉到底部看“事件数据”里的FileName字段。这里会明确写出被删文件的完整路径和名字，比如C:\Users\John\Downloads\setup_x64.exe。
【关键前提】必须在删除发生后24小时内操作，超过这个时限，日志可能已被系统自动覆盖。
用PowerShell强制还原被删文件（仅限NTFS卷）
方法一：从卷影副本恢复（最快）
以管理员身份运行PowerShell→执行：
Get-Volume | Where-Object {$_.DriveLetter -eq 'C'} | Get-VolumeShadowCopy | Restore-VolumeShadowCopy -Path "C:\Users\John\Downloads\setup_x64.exe" -Confirm:$false
将其中C和setup_x64.exe替换成你的真实盘符和文件名。此命令会从最近一次系统自动创建的卷影副本中提取该文件。
方法二：用Recuva深度扫描（需提前关闭Defender）
下载Recuva便携版（官网直链，非第三方站）→右键Recuva.exe→“属性”→“常规”页勾掉“解除锁定”→运行→选择“深度扫描”→目标位置选下载目录所在分区→扫描结束后，在结果列表中按“状态”列排序，找标记为Deleted且类型为EXE的条目→勾选它→点“恢复”。
注意：恢复前务必先禁用Defender实时保护，否则刚恢复出来又会被秒删。
永久放行这个文件不被拦截
第一步：把抢救回来的EXE文件复制到C:\Tools这类非用户目录下（避开Downloads、Desktop等高危监控区）→右键该文件→“属性”→勾选“解除锁定”→点“确定”。
第二步：打开Windows安全中心→“病毒和威胁防护”→“管理设置”→下滑到“排除项”→点“添加或删除排除项”→“添加排除项”→选“文件”→浏览并选中你刚复制过去的EXE文件。
第三步：回到安全中心首页→点“快速扫描”→等扫描完成→再双击运行该文件，此时应能正常启动。
【不可逆操作】添加排除项后，Defender将永久跳过对该文件的任何检测，包括未来版本更新带来的新威胁特征匹配。
