pid 4占用80/443端口实为http.sys内核驱动托管的系统服务（如w3svc、reportserver等），不可taskkill，应通过netsh查url保留项、net stop http临时释放，并用sc config禁用对应服务。
当你在Windows 11上启动本地Web服务（如Vue Dev Server、Python HTTP服务器或Docker容器）时，发现80或443端口报错“被占用”，而netstat显示PID为4的进程——这几乎可以确定是System进程在监听，背后实际是HTTP.sys内核驱动托管的系统级服务，不是普通用户进程，不能直接taskkill。
确认是否为System进程（PID 4）占用
以管理员身份打开终端（Win+X → 终端(管理员)），执行：
netstat -ano | findstr :80
netstat -ano | findstr :443
若输出中Local Address列显示0.0.0.0:80或[::]:80，且最后一列为【4】，即为System进程。注意：PID 4是Windows内核模式服务的固定标识，不可用taskkill /PID 4 /F强制终止，否则将导致系统蓝屏或网络栈崩溃。
定位真正占用端口的系统服务
System进程本身不主动监听，它只是HTTP.sys的宿主。真正注册端口的是调用HTTP API的服务。执行以下命令查看所有通过HTTP.sys注册的URL前缀：
netsh http show urlacl
该命令会列出所有已授权绑定到80/443等端口的URL保留项，例如：
Reservation : http://+:80/
User : NT AUTHORITY\LOCAL SERVICE
再执行：
netsh http show servicestate
重点查看“IP:Port”列为:80或:443的条目，其“Process ID”列显示的才是真实服务进程（通常仍是svchost.exe，但PID非4），而“Service Name”列会明确写出服务名，如：
World Wide Web Publishing Service（W3SVC）
Web Deployment Agent Service（MsDepSvc）
SQL Server Reporting Services（ReportServer）
BranchCache（PeerDist）
Windows Admin Center（WindowsAdminCenter）
Web Management Service（WMSvc）
Print Spooler（部分驱动会注册http://localhost:61753）
Windows Internal Database（WID）
yuanfang-skills 的共享设计系统，提供 token CSS 变量、12+ 主题以及可复用的布局类型 HTML 块，供 yuanfang-html-image（以及 fu...）使用。
逐个验证并停用可疑服务
第一步：停止HTTP服务总控（安全可逆）
net stop http /y
这条命令会立即释放所有由HTTP.sys托管的端口（包括80/443），且不会终止任何svchost子服务——它只是卸载HTTP API驱动。执行后再次netstat检查，若80/443消失，说明问题确由HTTP.sys生态引起。
第二步：禁用HTTP服务开机自启（防止重启后复现）
sc config http start= disabled
⚠️ 注意：此操作不影响IIS管理器、FTP或非HTTP.sys服务；仅关闭内核级HTTP监听能力。若你确实需要IIS，请改用“sc config http start= demand”设为手动启动。
第三步：针对性停用具体服务（按需选择）
① 若发现W3SVC占用：sc stop W3SVC && sc config W3SVC start= disabled
② 若发现ReportServer占用：sc stop ReportServer && sc config ReportServer start= disabled
③ 若发现WMSvc（Web管理服务）占用：sc stop WMSvc && sc config WMSvc start= disabled
每执行一条sc stop命令后，立即运行netstat -ano | findstr :80验证端口是否释放。不要批量停用，避免影响系统功能。
