wsus通过自动审批规则实现windows defender定义更新的自动批准——需在“产品和分类”中启用对应项，新建规则时勾选“定义更新”分类与“windows defender”产品，且仅此二者生效；规则不追溯旧更新，须手动处理，部署时间由客户端组策略决定。
wsus 自动批准特定类别的更新，核心是通过“自动审批规则”实现——它能按分类（如定义更新、安全更新）、产品（如 windows 10、windows defender）等条件，自动为指定计算机组批准更新，省去手动逐条操作。
设置自动审批规则的基本步骤
在 WSUS 管理控制台中，依次展开服务器节点 → 选择“选项” → 点击“自动审批”。点击“新建规则”，进入向导：
- 步骤 1：勾选“当更新属于特定分类时”和“当更新属于特定产品时”两个条件（可同时启用）
- 步骤 2：在分类下拉菜单中选择“定义更新”；在产品列表中，滚动找到并仅勾选“Windows Defender”（注意不要误选“Windows”大类）
- 点击“确定”保存规则。该规则即刻生效，后续同步进来的 Windows Defender 定义更新将自动进入“已批准安装”状态
关键细节与常见注意事项
规则生效依赖几个前提，缺一不可：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 必须先在“产品和分类”设置中，明确勾选“Windows Defender”产品和“定义更新”分类，否则同步时不会拉取这类更新
- 如果 WSUS 服务器本身有未批准的组件更新（如 WSUS 服务补丁），系统会阻止其他更新的自动审批，需优先批准 WSUS 自身更新
- 自动审批只作用于新同步进来的更新；已存在的、未批准的旧定义更新不会被 retroactively 批准，需手动处理
- 截止时间不适用于定义更新——这类更新无需用户交互，但自动审批本身不设安装时间，实际部署时间由客户端组策略中的“计划安装”设定决定
验证与调试建议
配置完成后，建议做三件事确认是否正常工作：
- 立即执行一次“同步”（在“同步”节点右键 → “立即同步”），观察同步日志中是否包含 Windows Defender 定义更新条目
- 进入“更新”→“所有更新”，用筛选器设置“分类 = 定义更新”+“产品 = Windows Defender”，查看其审批状态是否为“已批准安装”
- 检查某台已指向该 WSUS 的客户端（如运行 Get-WUList 或查看 Windows Update 日志），确认最近一次定义更新是否来自 WSUS 且状态为“已安装”
