最有效的基础设置优化是收紧系统权限、安装渠道和默认行为三方面控制。启用uac“始终通知”、切换日常为标准用户、禁用windows installer服务、限制应用安装来源为microsoft store或已验证发布者。
最有效的基础设置优化，不是装一堆工具，而是从系统权限、安装渠道和默认行为三处收紧控制。关键在让“自动”变“手动”，让“无声安装”变成“必须点头”。
启用最高级用户账户控制（UAC）
这是Windows自带的第一道防线，能拦截绝大多数静默安装行为。
- 按 Win + R，输入 control userpasswords2 回车，进入用户账户设置
- 点左侧“用户账户”→“更改用户账户控制设置”
- 把滑块拉到最顶端——“始终通知”，点击确定
- 重启后，任何需要管理员权限的操作（包括.exe/.msi安装、脚本执行）都会弹出全屏确认框，不点“是”就彻底中断
切换为标准用户账户日常使用
管理员账户就像一把万能钥匙，而标准账户只开自己抽屉的锁。90%的流氓软件依赖管理员权限写入系统目录或注册表，标准账户天然免疫。
- 进入“设置 → 账户 → 家庭和其他用户”，点击“将用户账户更改为标准用户”
- 保留一个管理员账户仅用于必要操作（如装驱动、更新系统），但平时不登录它
- 安装软件时，系统会自动弹出UAC窗口要求输入管理员密码——这就把“谁装、装什么、什么时候装”全部显性化
关闭Windows Installer服务（临时禁用）
大部分捆绑安装包（尤其是下载器、更新器内嵌的.msi安装模块）都靠这个服务运行。禁用后，它们直接报错退出，无法继续。
- 按 Win + R，输入 services.msc 回车
- 找到“Windows Installer”，右键→属性
- 启动类型设为“禁用”，点击“停止”按钮，再点“确定”
- 需要装正规软件时，再回来改成“手动”，装完立刻恢复禁用
限制外部软件安装来源
不让系统轻易信任来路不明的程序，是最直接的源头管控。
- 打开“设置 → 应用 → 安装的应用”
- 找到“允许从以下位置安装应用”选项
- 选择“仅Microsoft Store”（最严）或“仅Microsoft Store和已验证的发布者”（兼顾灵活性）
- 这样，双击非签名exe或下载的安装包时，系统会直接阻止并提示“此应用无法安装”
