必须启用windows sandbox功能以安全测试可疑软件；需满足系统版本≥1903、专业/企业/教育版64位、bios开启虚拟化、内存≥4gb、磁盘空间≥1gb且cpu双核以上；可通过图形界面或powershell启用，重启后生效；创建.nosurf.wsb配置文件可实现断网隔离。
要在 Windows 10 上安全测试来源不明或行为可疑的软件，防止其修改注册表、写入磁盘或联网窃取数据，必须启用 Windows Sandbox 功能——它每次启动都生成全新干净的桌面环境，关闭后所有痕迹彻底清空，连临时文件和进程残留都不会留下。
确认系统与硬件是否达标
Windows 沙盒不是点一下就能开的功能，它依赖底层虚拟化支持和特定系统版本。任一条件不满足，后续所有操作都会失败或选项呈灰色不可选。
按下 Win + R，输入 winver 回车，查看版本号是否 ≥ 1903（内部版本 18362）。
右键“开始”按钮 → “系统”，确认系统类型为 Windows 10 专业版、企业版或教育版（64位）；家庭版原生不支持，强行安装风险极高。
右键“开始” → “任务管理器” → “性能”选项卡，检查右下角“虚拟化”状态是否显示已启用；若为“已禁用”，必须重启进 BIOS/UEFI 手动开启 Intel VT-x 或 AMD SVM。
确保内存 ≥ 4GB，系统盘剩余空间 ≥ 1GB，CPU 至少双核且支持虚拟化——这四条缺一不可，否则沙盒即使启用也无法启动。
通过图形界面启用沙盒（推荐普通用户）
这是最直观、容错率最高的方式，全程鼠标操作，适合首次启用者。
点击任务栏搜索框，输入“启用或关闭 Windows 功能”，直接打开该设置项。
在弹出窗口中向下滚动，找到 Windows Sandbox，在其左侧复选框内打勾。
点击“确定”，系统开始下载并安装容器核心组件，过程持续约 2–5 分钟，期间请勿中断网络或关机，否则需重新下载。
将提醒同步至 Windows/Outlook 日历。用户提及「提醒我」「设置提醒」「加到日历」「同步到日历」「日程」「calendar」「日历」时触发。支持Microsoft Graph API 设备代码流认证，无需 Web 服务器，直接写入用户 Outlook 日历。
安装完成后，系统提示“需要重启计算机”，点击立即重新启动以完成驱动加载和 Hyper-V 子系统初始化。
使用 PowerShell 命令行启用（适合批量部署或界面异常时）
当图形界面中找不到“Windows 沙盒”选项，或勾选后反复失败，说明系统可能被策略限制或功能注册异常，此时命令行是更底层、更可靠的启用路径。
方法一：管理员权限运行 PowerShell
在开始菜单搜索“PowerShell”，右键选择以管理员身份运行。
方法二：执行启用命令
输入以下命令并回车：Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online。
等待终端返回“操作成功完成”字样，表示功能已注册成功；若提示“功能已启用”，说明此前已配置但未生效，仍需重启。
输入 y 确认立即重启，或手动重启设备——这一步不可跳过，否则沙盒图标不会出现在开始菜单中。
创建无网络沙盒配置文件（强化隔离性）
默认沙盒允许联网，未知软件可能借此外传数据或下载额外恶意载荷；通过 .wsb 配置文件可物理级切断网络，真正实现“只跑不动”。
用记事本新建一个纯文本文件，将以下内容完整复制粘贴进去：<configuration><network>Disable</network></configuration>
将文件保存为 nosurf.wsb（扩展名必须是 .wsb，不能是 .txt），建议存放在桌面以便快速双击启动。
双击该文件，Windows 沙盒将以完全断网模式启动，任务栏右下角网络图标显示为红色叉号，此时剪贴板同步和拖拽安装仍可用，但所有网络请求均被拦截。
