离线安装windows补丁的核心是通过microsoft update catalog下载匹配的签名补丁，再用dism工具以管理员权限执行dism /online /add-package命令安装cab或msu包，最后验证并重启生效。

离线环境中导入并安装 windows 补丁，核心是“下对、装准、验稳”——不依赖网络、不靠 windows update 服务，而是通过微软官方离线包 + 系统原生工具完成可信部署。关键不在步骤多，而在每一步都卡住匹配与权限。

从 Microsoft Update Catalog 下载正确补丁

这是唯一安全可信的来源，所有文件带微软数字签名：

• 打开 Edge 或 Chrome，访问 https://catalog.update.microsoft.com
• 搜索目标 KB 编号（如 KB5095093），务必核对“适用操作系统”字段是否精确匹配你的系统（例如 Windows Server 2022 Datacenter x64，不是 “for Windows 11” 或 “ARM64”）
• 运行 systeminfo | findstr "OS Version" 获取完整 build 号（如 10.0.20348.2781），确保补丁版本分支一致
• 下载后保存路径建议为 C:Updates，避免中文、空格和桌面路径

用 DISM 安装 CAB 或 MSU 补丁（推荐在线模式）

DISM 是 Windows Server 和 Win10/11 离线更新最稳定的方式，wusa.exe 在 Server Core 或无 GUI 环境中极易失败：

Windows-Android_SSH_Remote_Control

通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。

下载

• 以管理员身份运行 PowerShell 或终端
• 安装 CAB（更轻量、适合脚本）：
  dism /online /add-package /packagepath:"C:Updateswindows10.0-kb5095093-x64.cab"
• 安装 MSU（无需解包）：
  dism /online /add-package /packagepath:"C:Updateswindows10.0-kb5095093-x64.msu"
• 加 /norestart 参数可暂不重启，便于批量控制时机
• 若报错 0x800f0922，说明缺前置补丁（如服务堆栈更新 SSU），需先装对应 KB（如 KB5034763）

验证安装结果并重启生效

补丁写入注册表和组件存储后，必须重启才能加载新驱动、服务和内核模块：

• 检查是否成功安装：
  dism /online /get-packages | findstr "KB5095093" —— 应显示状态为 Installed
• 确认无挂起操作：
  pending.xml 不存在于 %windir%WinSxS，或运行 psexec -s cmd /c "dism /online /cleanup-image /revertpendingactions" 清理异常状态
• 重启前关闭 SQL Server、AD DS、IIS 等关键服务；域控制器建议在维护窗口执行 shutdown /r /t 0

进阶：批量部署与完整性校验

面向多台服务器时，不能靠远程复制大文件，应采用共享+本地执行模式：

• 将补丁放至 UNC 路径（如 \fileserverpatchesKB5095093.msu）
• 每台服务器上先校验哈希：
  certutil -hashfile "\fileserverpatchesKB5095093.msu" SHA256，比对 Catalog 页面提供的值
• 用批处理封装安装逻辑，加入错误捕获：
  if %errorlevel% neq 0 echo [FAIL] KB5095093 >> C:logspatch.log
• 避免使用 PowerShell 远程命令传补丁文件——易因超时、路径空格或内存溢出中断