- Windows 沙盒创建了一个干净、隔离的 Windows 环境，用于测试可疑程序，而不会影响主系统。
- 需要 Windows 10/11 专业版、企业版或教育版，硬件虚拟化支持以及最低 CPU 和内存配置。
- 它非常适合快速和一次性测试，而 Sandboxie 和经典虚拟机则涵盖更具体或更持久的隔离场景。
在 Windows 中运行未知程序 这是安装恶意软件、广告软件或无意中损坏系统的最常见方法之一。你从网上“快速”下载了一些东西，想都没想就打开了，结果没过多久，你的系统就变得很慢，浏览器里塞满了奇怪的扩展程序，或者到处弹出窗口。
为了避免这些情况， 微软已将其包含在 Windows 10 和 Windows 11 专业版、企业版和教育版中。 （如果需要的话） 从 Windows 10 迁移到 Windows 11Windows 沙盒是一项非常强大的功能。简单来说，它就像在你的电脑里创建一个干净、临时且可丢弃的 Windows 环境，非常适合在不影响主系统的情况下测试可疑程序。接下来，我们将详细了解“沙盒”究竟是什么，Windows 沙盒的工作原理，它的要求，如何激活它，以及它与其他解决方案（例如 Sandboxie、VirtualBox 或 Hyper-V）有何不同。
什么是沙盒软件？它有什么用途？
Un 沙箱软件创建了一个隔离环境 在主操作系统内部，利用虚拟化或系统级隔离技术。这种环境被称为“沙箱”，它就像一个气泡：其中运行的所有内容都与系统的其他部分隔离，因此任何更改、文件或设置的修改都不会对 Windows 产生“实际”影响。
在实践中，这意味着 我们可以运行一些潜在危险的应用程序。我们可以放心地打开可疑的电子邮件附件或测试版工具，无需担心会造成任何损害。即使程序最终被证实是恶意程序，它也会一直被限制在沙箱环境中，一旦关闭或重启沙箱，其中发生的一切都会被彻底清除。
为了实现这一点，沙箱解决方案通常依赖于 一个充当虚拟机的抽象层 或者作为拦截系统调用的过滤器。这意味着需要消耗额外的资源（CPU、内存、存储空间），因为系统必须“模拟”或隔离这个额外的环境，但作为回报，我们避免了修改宿主操作系统，无论好坏。
这种方法不仅对那些想要 测试可疑程序，无需病毒检测此外，对于任何想要测试应用程序、配置或脚本而不留下任何更改痕迹的用户，或者对于需要不断重现干净场景而无需每次都重新安装 Windows 的开发人员来说，它也是理想之选。
另外， 现代沙箱是关键的安全工具 无论是在家庭环境还是专业环境中，它们都能帮助您遏制威胁、研究恶意软件行为、验证从可疑来源下载的安装程序，并且通常能大大降低因快速测试而导致强制格式化或数据丢失的风险。
Windows 沙盒：Windows 内置的临时环境
Windows Sandbox 是微软的实现方式。 这一概念存在于 Windows 10 和 Windows 11 中。它是一个使用 Hyper-V 虚拟化技术运行的独立桌面环境，但以完全集成和简化的方式运行：无需创建虚拟磁盘或安装单独的操作系统，一切都是“开箱即用”。
打开 Windows 沙盒时， 启动一个全新的 Windows 实例 它的表现就像全新安装一样：只有默认应用程序（例如 Microsoft Edge）和默认设置。没有第三方程序，没有残留软件，也没有任何自定义设置。非常适合从零开始测试，看看哪些功能运行良好。
关键在于…… 每次关闭 Windows 沙盒窗口时系统内部的所有内容都将被彻底清除，无法恢复：已安装的程序、注册表更改、下载的文件、设置等等。下次启动时，您将获得一个全新的 Windows 系统，不会继承之前会话中的任何内容。
此功能可在 Windows 10 版本 1903 或更高版本以及 Windows 11此功能仅适用于专业版、企业版或教育版用户。家庭版不包含此功能，因此您需要使用外部替代方案。
使用 Windows 沙盒的要求和前提条件
在你能够享受这种与世隔绝的环境之前， 务必确认您的设备符合一系列条件。拥有相对较新的 Windows 版本是不够的，因为系统版本、硬件和 BIOS/UEFI 配置都会起作用。
关于操作系统， 您需要 Windows 10 专业版或企业版（1903 或更高版本） 或任何 Windows 11 专业版、企业版或教育版（参见 Windows 11 初始设置 （如果您刚刚迁移）。家庭版系统官方被排除在外，因为微软将 Windows 沙盒保留给系统的“专业版”。
就处理器而言，最低要求是 至少具有两个核心且支持虚拟化的 64 位 CPU （例如 Intel VT-x 或 AMD-V 等类似扩展技术）。但是，如果您想要获得流畅的体验，建议使用现代的中高端处理器，例如配备多个核心和线程的 Intel Core 处理器或最新的 AMD Ryzen 处理器，例如 6 核 12 线程的处理器。
内存是另一个关键点： 微软指出，最低内存要求为 4 GB。 运行 Windows 沙盒需要内存，但这只是基本要求。隔离环境会占用部分可用内存，而且您还需要同时使用主系统。因此，为了获得流畅的使用体验，建议至少配备 8 GB 内存；如果您计划在沙盒中运行大型应用程序或进行高强度多任务处理，则建议配备 12 GB 或更多内存。
关于存储， Windows Sandbox 占用的空间相对较小。由于它会重用宿主机系统中的组件，因此您仍然需要足够的磁盘空间来存放临时文件以及在环境中安装的任何程序。如果空间不足，您会在创建和销毁会话时注意到速度有所下降。
最后，必须说明的是： 必须在 BIOS/UEFI 中启用硬件虚拟化。在许多系统中，此功能默认启用；但在其他系统中，您需要访问固件设置并激活 Intel VT-x、Intel VT-d、AMD-V 或类似选项。如果没有此功能的支持，Windows Sandbox 将无法使用 Hyper-V，也无法正常运行。
如何在 Windows 上安装和激活 Windows 沙盒
一旦您的团队满足了要求， 启用 Windows 沙盒非常简单。您可以通过 PowerShell 命令行或通过“Windows 功能”中的经典图形界面来完成此操作。两种方法都能达到相同的效果。
如果你更喜欢游戏机， 以管理员权限打开 PowerShell为此，请在“开始”菜单搜索框中键入“PowerShell”，右键单击搜索结果，然后选择“以管理员身份运行”。由于将激活一项系统功能，因此必须拥有提升的权限。
打开 PowerShell 窗口后，你只需要…… 运行以下命令 启用必要的组件：
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online
完成此过程后，系统将提示您重新启动。 Windows沙盒需要重启电脑后才会出现。所以，请保存所有打开的文件，然后接受重启。在现代电脑上，这个过程通常只需要几分钟。
如果你不习惯使用控制台，或者只是不想输入命令， 您可以通过图形界面激活 Windows 沙盒。在“开始”菜单中，搜索“启用或关闭 Windows 功能”并打开它。此时会弹出一个窗口，其中列出了许多可选的系统组件。
在列表中，向下滚动直到找到 “Windows 沙盒”或“Windows 沙盒”根据您的系统语言，选择相应的选项。选中复选框，单击“确定”，然后让 Windows 安装此功能。系统将提示您重新启动以使更改生效。
入门指南：如何日常使用 Windows 沙盒
该功能现已启用。 打开 Windows 沙盒就像启动任何其他应用程序一样简单。只需转到“开始”菜单，在搜索框中键入“Windows Sandbox”或“Windows Sandbox”，然后运行带有 Microsoft 图标的搜索结果即可。
第一次启动它的时候， 启动过程可能比平时稍长一些。系统需要完成虚拟环境的配置。如果出现几秒钟的黑屏，请不要担心；在后续运行中，加载时间将显著缩短，您的虚拟桌面将在片刻后准备就绪。
进入后，您将看到 功能齐全的 Windows 桌面它通常是英文版的，而且未激活（这是针对此环境的临时许可证）。你会发现只有基本的系统应用程序，没有你常用的程序、个人数据或自定义设置。就像一个“全新”的Windows系统。
优点之一是 沙盒窗口会自动调整。 窗口大小由您决定：当您调整窗口大小时，内部屏幕分辨率也会随之调整，它就像一台非常轻量级的虚拟机。您无需费心配置显卡驱动程序或进行复杂的设置。
在这张独立的办公桌内，你将能够 浏览互联网、下载文件、安装程序以及打开可疑文件 它实际上与你的主 Windows 系统完全相同。该环境通过虚拟接口访问网络，这使得下载安装程序或执行快速检查变得容易，但也意味着任何具有网络功能的恶意软件都可以与外部通信，因此最好运用常识，如果你担心隐私问题，可以…… 启用基于 HTTPS 的 DNS 在Windows 11上。
要将文件从您的系统移动到沙盒， 您可以使用 Windows 剪贴板只需在主机上复制文件（Ctrl + C），然后将其粘贴到沙盒环境的桌面（Ctrl + V）即可。这样，可执行文件或文档就已放入沙盒中，可以进行测试了。高级用户还可以创建 .wsb 配置文件，将主机上的文件夹直接挂载到沙盒环境中，但这需要一些技术知识。
当你完成所需测试后， 你只需要关闭 Windows 沙盒窗口即可。 点击角落里的“X”，就像在其他程序中一样。此时会弹出一个清晰的警告，提示环境中的所有内容都将被删除。确认后，虚拟机将关闭，所有更改、文件和已安装的程序都将被永久销毁。
如果您在沙盒中生成了任何想要保留的文件（例如， 一份由你不信任的程序生成的干净文档。), 记得要备份回去，或者参考数据备份指南。 在关闭窗口之前，否则它会和临时环境一起消失。
替代方案及比较：Windows Sandbox、Sandboxie 和虚拟机
虽然 Windows 沙盒非常实用， 这并非在 Windows 系统中隔离软件的唯一方法。根据您的需求，您可能有兴趣使用其他工具，例如 Sandboxie，或者使用 VirtualBox、VMware 或 Hyper-V 等完整的虚拟机。
Sandboxie 是一款老牌解决方案， 它在操作系统层面运行。 它并非在一个完整的 Windows 系统中启动另一个完整的 Windows 系统，而是拦截应用程序对注册表、文件系统和其他资源的访问，并将它们重定向到一个隔离区域。因此，程序所做的更改实际上并没有写入系统，而是写入了一个可以轻松清理的“沙箱”中。
Sandboxie 的优势在于： 它资源消耗量非常低。 它甚至可以在 Windows 家庭版或更早版本的系统上使用。此外，它允许您隔离特定程序（例如，仅浏览器或仅安装程序），而无需启动完整的操作系统，并且可以并行运行多个 Sandboxie 环境。
另一方面，完整的虚拟机，例如那些 VirtualBox、VMware 或 Hyper-V它们创建了一个独立的虚拟计算机，拥有自己的磁盘、模拟硬件和已安装的操作系统。在这里，隔离性更强，因为客户系统就像一台独立的机器，甚至可以是不同的系统（例如另一个版本的 Windows、Linux 发行版等）。
它最大的优势在于以下可能性： 在会话之间保持虚拟系统的状态您可以永久安装程序、维护复杂的配置、搭建服务器，或者创建包含多台交互机器的实验室环境。此外，您还可以使用快照等功能，将机器状态冻结在特定时间点，并在需要时随时恢复到该状态。
缺点是…… 虚拟机消耗的内存和存储空间要多得多。因为每个虚拟机除了启动时需要预留内存外，还需要几GB的磁盘空间来存放系统和数据。此外，它们在初始设置期间也需要更多的耐心：您必须创建虚拟机、挂载ISO镜像、安装系统、更新系统，并像维护一台真正的计算机一样维护它。
针对这一切，Windows Sandbox 押注于…… 即时性和简易性只需几秒钟即可打开，您可以测试任何内容，关闭后所有内容都会消失，无需管理虚拟磁盘或保存状态。它非常适合快速测试和分析可疑文件或程序，尤其适用于那些您只会打开一次或极少打开的文件或程序。
Hyper-V 和持久性测试实验室
如果您已经拥有 Windows 10 或 11 专业版或企业版， 您还可以访问 Hyper-V 虚拟化平台。这是 Windows 沙盒的工作原理，但它提供了更多自定义选项，以适应高级场景。
使用 Hyper-V，您可以 创建一个或多个完全定制的虚拟机通过配置分配给每台机器的 CPU、内存、磁盘和虚拟网卡的资源，甚至可以完全切断机器的互联网连接，使其与网络隔离——这对于剖析高危恶意软件来说非常理想，因为它可以避免恶意软件与外部网络通信的风险。
机器制造完成后，你将需要…… 在其中安装操作系统 （Windows、Linux 等），可以使用 ISO 镜像或预先制作的系统模板。安装完成后，虚拟机就像一台独立的 PC，您可以根据需要随时启动和关闭，并且在会话之间保持数据和应用程序的完整性。
Hyper-V最大的优势之一是能够 创建控制点或检查点这样，您就可以在特定时刻对虚拟机的状态（系统、程序、文件和配置）进行“快照”。然后，您可以以可控的方式安装软件、测试配置，甚至感染虚拟机；如果出现问题，您只需恢复到该快照点，即可回到初始的干净状态。
这种理念与沙盒游戏非常相似，但是 其优势在于能够保存和管理多种不同的状态。一个用于安装新系统，一个用于安装某些更新，一个用于安装特定应用程序等等。但是，每个检查点都会占用额外的磁盘空间，因此建议预留充足的存储空间。
在专业或高级用户环境中，设置以下参数非常常见： 使用 Hyper-V 构建完整的虚拟实验室一台运行 Windows 10 且无网络连接的机器用于恶意软件测试，另一台运行 Windows Server 的机器用于测试服务配置，第三台运行 Linux 的机器用于开发，等等，只要硬件允许，所有这些机器都运行在同一台物理计算机上。
要启动并运行它，只需 从“启用或关闭 Windows 功能”中启用 Hyper-V这与 Windows Sandbox 的操作非常相似，然后打开“Hyper-V 管理器”控制台，您可以从中创建和管理虚拟机及其检查点。
何时使用 Windows 沙盒，何时使用其他解决方案
日复一日， Windows 沙盒非常适合应对快速响应的情况。 你可能会收到可疑附件，从来源不明的地方下载安装程序，或者想试用一个你并不打算长期使用的应用程序。你打开它，测试一下，关闭窗口，然后就把它忘了，因为你知道自己的主系统不会受到影响。
对于那些不想用复杂的配置来使生活变得复杂的用户来说， 此功能可立即提供一个“安全区”。 无需外部工具或第二台计算机。尤其是在工作或生产环境中，它可以作为非常有用的额外安全层，在将软件安装到生产系统之前对其进行过滤。
另一方面，如果你的目标是 长期维护测试环境对于需要在重启后保留安装的程序、特定配置，甚至是测试服务器，您可能更倾向于选择使用 Hyper-V、VirtualBox 或 VMware 等经典虚拟机，这样您就可以决定何时删除或恢复状态。
当需要使用 Sandboxie 之类的工具时，它们可能是理想的选择。 你只是想隔离特定的应用程序。 无需在另一个系统中搭建整个系统，或者在使用不包含 Windows 沙盒的家庭版 Windows 系统时，隔离浏览器或电子邮件客户端可以在不消耗过多资源的情况下，降低许多日常攻击的影响。
考虑到这一切， 最明智的做法是将几种策略结合起来。 根据具体场景：使用 Windows 沙箱进行一次性测试，使用虚拟机构建持久性实验环境，必要时还可以辅以 Sandboxie 等应用级沙箱工具。这样，无论是日常快速测试，还是更复杂的开发或分析环境，都能轻松应对。
借助这套选项，任何使用 Windows 专业版或企业版的用户都可以 大幅降低测试可疑程序或危险文件时的风险利用 Windows 沙盒作为快速简便的第一道屏障，并在需要更强大、更持久的解决方案时，依靠 Hyper-V 或第三方解决方案。
