必须编写.wsb配置文件实现可复用隔离环境，如禁用网络、映射主机文件夹、自动运行脚本；否则无法启用高级权限控制。

你需要为Windows Sandbox创建一个可复用、带特定权限控制的隔离环境，比如禁用网络访问、映射主机文件夹、启动时自动运行脚本，而不是每次手动点开沙盒再拖文件进去——这一步必须通过编写.wsb配置文件实现，否则所有高级控制都无从谈起。

准备基础环境与验证前提

按下 Win + R，输入 winver 回车，确认系统版本名中包含 Professional、Enterprise 或 Education；家庭版无法使用沙盒功能，强行操作会卡在后续步骤。

打开任务管理器 →「性能」→「CPU」，检查右侧「虚拟化」是否显示为「已启用」；若为「已禁用」，需进 BIOS/UEFI 手动开启 Intel VT-x 或 AMD-V，否则.wsb文件双击后根本不会启动沙盒实例。

右键开始菜单 →「终端（管理员）」，执行：dism /online /Get-FeatureInfo /FeatureName:Containers-DisposableClientLocalSystem，若返回状态为“已禁用”或报错，说明沙盒功能未启用，必须先通过 optionalfeatures.exe 勾选安装。

新建并保存合法的.wsb文件

在桌面右键 →「新建」→「文本文档」，命名为 config.txt（确保扩展名可见，如不可见请先在文件资源管理器 → 查看 → 勾选「文件扩展名」）。

双击打开该文本文件，粘贴以下最简可用XML结构：

Disable

点击「文件」→「另存为」→ 在「保存类型」下拉菜单中必须选择「所有文件」，文件名输入 OfflineSandbox.wsb，编码选 UTF-8，点击保存。若误选「文本文档(.txt)」，系统将生成 config.txt.wsb，双击无效且无任何提示。

常用配置项写法与生效逻辑

方法一：禁用网络 + 映射只读文件夹

在 标签内按顺序写入：

Disable

C:\TestFilesC:\sharedtrue

注意：HostFolder 路径必须真实存在且当前用户有读取权限，否则沙盒启动后该文件夹不会出现在 C:\shared 下，也不会报错，只会静默失败。

方法二：启用 GPU 加速 + 启动时自动打开资源管理器

写入：

Enable

explorer.exe C:\

Windows 图片打印

通过 Python 使用 mspaint /pt 在 Windows 上打印图像——绕过 bash 中文路径编码问题。

下载

VGpu 默认为 Disable，开启后可流畅运行轻量图形应用；LogonCommand 只支持单条命令，不能写多行或 && 连接，否则整个配置解析失败，沙盒直接黑屏退出。

方法三：同时启用摄像头和共享两个文件夹

完整结构示例：

Enable

C:\ScriptsC:\runtrue

C:\DataC:\datafalse

双击该.wsb 文件即可启动——此时沙盒内能调用摄像头，C:\run 下有脚本可执行，C:\data 下可写入新文件，全部按你定义的方式生效。

验证与调试配置文件

第一步：用记事本打开你的 .wsb 文件，确认根标签是 且闭合正确，任意标签不闭合（如漏掉 ）会导致双击无响应。

第二步：把文件拖进 PowerShell 窗口，输入 Get-Content "你的路径\文件名.wsb" -Encoding UTF8 | % { $_ }，逐行检查是否有不可见 Unicode 字符（如零宽空格），这类字符肉眼不可见但会使 XML 解析失败。

第三步：右键该 .wsb 文件 →「属性」→「常规」选项卡，确认「只读」未被勾选；若勾选，沙盒会拒绝加载并静默退出，不提示任何错误。

第四步：双击运行，观察沙盒窗口标题栏是否显示「Windows Sandbox (Custom Configuration)」字样——出现即表示配置已成功加载。