- Windows 沙盒创建了一个干净、隔离的 Windows 环境，用于测试可疑程序，而不会影响主系统。
- 需要 Windows 10/11 专业版、企业版或教育版，硬件虚拟化支持以及最低 CPU 和内存配置。
- 它非常适合快速和一次性测试，而 Sandboxie 和经典虚拟机则涵盖更具体或更持久的隔离场景。
在 Windows 系统上运行未知程序是安装恶意软件、广告软件或无意中损坏系统的最常见方式之一。你从网上“快速”下载了一些东西，想都没想就打开了，结果没过多久，你的系统就变得很慢，浏览器里充斥着各种奇怪的扩展程序，或者到处弹出窗口。
为了避免这种情况，微软在 Windows 10 和 Windows 11 专业版、企业版和教育版（如果您需要从 Windows 10 迁移到 Windows 11）中内置了一项名为 Windows 沙盒的强大功能。本质上，它就像在您的电脑中创建一个干净、临时且可丢弃的 Windows 环境，非常适合在不影响主系统的情况下测试可疑程序。接下来，我们将详细了解“沙盒”究竟是什么、Windows 沙盒的工作原理、其要求、激活方法以及它与其他解决方案（例如 Sandboxie、VirtualBox 或 Hyper-V）的区别。
什么是沙盒软件？它有什么用途？
沙盒软件利用虚拟化或系统级隔离技术，在主操作系统内创建一个隔离环境。这个被称为“沙盒”的环境就像一个气泡：其中运行的所有内容都与系统的其他部分隔离，因此任何更改、文件或设置的修改都不会影响“真正的”Windows系统。
实际上，这意味着我们可以运行潜在危险的应用程序、可疑的电子邮件附件或测试版工具，而无需担心会造成任何损害。如果程序最终被证实是恶意程序，它将被限制在沙箱内，关闭或重启程序后，其中发生的一切都会被彻底清除。
为了实现这一点，沙箱解决方案通常依赖于一个抽象层，该抽象层充当虚拟机或拦截系统调用的过滤器。这会导致额外的资源消耗（CPU、内存、存储），因为系统必须“模拟”或隔离这个额外的环境，但作为回报，我们可以避免修改宿主操作系统，无论这种修改是好是坏。
这种方法不仅适用于那些想要测试可疑程序而不检测病毒的人，而且对于任何想要测试应用程序、配置或脚本而不留下任何更改痕迹的用户，或者对于需要不断重现干净场景而无需每次都重新安装 Windows 的开发人员来说，也很有用。
此外，现代沙箱是家庭和专业环境中重要的安全工具。它们可以隔离威胁、研究恶意软件行为、验证从可疑来源下载的安装程序，并且总体上显著降低因快速测试而导致强制格式化或数据丢失的风险。
Windows 沙盒：Windows 内置的临时环境
Windows Sandbox 是微软在 Windows 10 和 Windows 11 中对这一概念的实现。它是一个使用 Hyper-V 虚拟化技术运行的独立桌面环境，但以完全集成和简化的方式运行：无需创建虚拟磁盘或安装单独的操作系统，一切都“开箱即用”。
打开 Windows 沙盒会启动一个干净的 Windows 系统实例，其运行方式如同全新安装：只有默认应用程序（例如 Microsoft Edge）和默认设置。没有第三方程序、没有残留软件、也没有任何自定义设置。非常适合从头开始测试，以检查各项功能是否运行正常。
关键在于，每次关闭 Windows 沙盒窗口时，其中发生的一切都会被彻底清除，无法恢复：已安装的程序、注册表更改、下载的文件、设置等等。下次运行它时，您将获得一个全新的 Windows 系统，不会继承之前会话中的任何内容。
此功能适用于Windows 10 版本 1903 或更高版本以及 Windows 11，前提是您使用的是专业版、企业版或教育版。家庭版不包含此功能，因此您需要使用其他外部替代方案。
使用 Windows 沙盒的要求和前提条件
在享受这种与世隔绝的环境之前，务必确认您的电脑满足特定要求。仅仅拥有相对较新的Windows版本是不够的；系统版本、硬件配置以及BIOS/UEFI设置都至关重要。
关于操作系统，您需要 Windows 10 专业版或企业版（1903 或更高版本），或者任何 Windows 11 专业版、企业版或教育版（如果您是新用户，请参阅Windows 11 初始设置）。家庭版不受官方支持，因为微软将 Windows 沙盒保留给系统的“专业版”。
处理器方面，最低要求是至少双核 64 位 CPU，并支持虚拟化技术（例如 Intel VT-x 或 AMD-V 等）。不过，为了获得流畅的使用体验，建议使用现代的中高端多核多线程处理器，例如 Intel Core 或最新的 AMD Ryzen 系列处理器，例如 6 核 12 线程的处理器。
内存是另一个关键因素：微软建议运行 Windows 沙盒至少需要 4 GB 内存，但这仅仅是个起点。沙盒环境会占用一部分可用内存，而且您还需要同时运行主系统。因此，为了获得流畅的使用体验，建议至少配备 8 GB 内存；如果您计划在沙盒中运行大型应用程序或进行高强度的多任务处理，则需要 12 GB 或更多内存。
关于存储空间，Windows Sandbox 占用的空间相对较小，因为它会重用宿主系统的组件。即便如此，您仍然需要足够的磁盘空间来存放临时文件以及在环境中安装的任何程序。如果空间不足，创建和删除会话时可能会遇到一些性能问题。
最后，必须在 BIOS/UEFI 中启用硬件虚拟化。许多计算机默认启用此功能，但有些计算机则需要您访问固件设置并启用 Intel VT-x、Intel VT-d、AMD-V 或类似选项。如果没有此功能，Windows Sandbox 将无法使用 Hyper-V，也无法正常运行。
如何在 Windows 上安装和激活 Windows 沙盒
一旦您的计算机满足要求，启用 Windows 沙盒就非常简单。您可以通过 PowerShell 命令行或传统的“Windows 功能”图形界面来完成此操作。两种方法都能达到相同的效果。
如果您更喜欢使用命令提示符，请以管理员权限打开 PowerShell。为此，请在“开始”菜单搜索框中键入“PowerShell”，右键单击搜索结果，然后选择“以管理员身份运行”。提升权限非常重要，因为这将激活一项系统功能。
打开 PowerShell 窗口后，只需运行以下命令即可启用必要的组件：
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online
完成上述步骤后，系统会提示您重启。Windows沙盒功能需要重启计算机后才能使用，因此请保存所有已打开的文件并接受重启。在现代计算机上，此过程通常只需几分钟。
如果您不熟悉命令行，或者不想输入命令，可以通过图形界面激活 Windows 沙盒。在“开始”菜单中，搜索“启用或关闭 Windows 功能”并打开它。此时会弹出一个窗口，其中包含一长串可选系统组件。
在该列表中，向下滚动找到“Windows 沙盒”或“Windows 隔离空间”（取决于您的安装语言）。选中相应的复选框，单击“确定”，然后让 Windows 安装该功能。系统会提示您重启以使更改生效。
入门指南：如何日常使用 Windows 沙盒
现在启用该功能后，打开 Windows 沙盒就像启动任何其他应用程序一样简单。只需转到“开始”菜单，在搜索栏中键入“Windows 沙盒”或“Windows 沙盒”，然后运行带有 Microsoft 图标的搜索结果即可。
首次启动时，由于系统需要完成虚拟环境的配置，启动时间可能会比平时稍长。如果出现几秒钟的空白屏幕，请不要担心；后续运行中，加载时间将显著缩短，您的虚拟桌面很快就会准备就绪。
登录后，您会看到一个功能齐全的 Windows 桌面，通常为英文界面且未激活（这是针对此环境的临时许可证）。您会发现只有基本的系统应用程序，没有您常用的程序、个人数据或自定义设置。这就像一个“全新安装”的 Windows 系统。
其中一个优点是沙盒窗口会自动适应您的屏幕大小：当您调整窗口大小时，内部屏幕分辨率也会随之调整，使其运行起来就像一台非常轻量级的虚拟机。您无需费心配置显卡驱动程序或进行复杂的设置。
在这个隔离的桌面环境中，您可以浏览互联网、下载文件、安装程序，以及打开可疑文档，几乎与在主 Windows 系统上操作完全相同。该环境通过虚拟接口访问网络，方便您下载安装程序或进行快速检查。然而，这也意味着任何具备网络功能的恶意软件都可以与外部网络通信，因此谨慎行事至关重要。如果您担心隐私问题，可以在 Windows 11 中启用 DNS over HTTPS 。
要将文件从您的系统移动到沙盒，您可以使用 Windows 剪贴板。只需在主机上复制文件（Ctrl + C），然后将其粘贴到沙盒桌面（Ctrl + V）。这样，可执行文件或文档现在就位于沙盒中，可以进行测试了。高级用户还可以创建 .wsb 配置文件，将主机上的文件夹直接挂载到沙盒中，但这需要更专业的技术知识。
完成所需测试后，只需像关闭其他程序一样，点击角落里的“X”关闭 Windows 沙盒窗口即可。此时会弹出清晰的警告，提示环境中的所有内容都将被删除。确认后，虚拟机将关闭，所有更改、文件和已安装的程序都将被永久销毁。
如果您在沙盒中生成了任何想要保留的文件（例如，由您不信任的程序生成的干净文档），请记住在关闭窗口之前将它们复制回去或查阅数据备份指南，否则它们将随临时环境一起消失。
替代方案及比较：Windows Sandbox、Sandboxie 和虚拟机
虽然 Windows 沙盒非常实用，但它并非在 Windows 系统中隔离软件的唯一方法。根据您的需求，您可能还需要考虑使用其他工具，例如 Sandboxie，或者使用 VirtualBox、VMware 或 Hyper-V 等虚拟机软件创建完整的虚拟机。
Sandboxie 是一款历史悠久的解决方案，它在操作系统层面运行，而不是在一个完整的 Windows 环境中运行。本质上，它会拦截应用程序对注册表、文件系统和其他资源的访问，并将这些访问重定向到一个隔离区域。这样，程序所做的更改实际上不会写入系统，而是写入一个可以轻松清理的“沙箱”中。
Sandboxie 的优势在于其极低的资源占用，即使在 Windows 家庭版或更早版本的系统上也能流畅运行。此外，它还允许您隔离特定程序（例如，仅浏览器或仅安装程序），而无需启动完整的操作系统，并且可以并行运行多个 Sandboxie 环境。
另一方面，完整的虚拟机，例如VirtualBox、VMware 或 Hyper-V提供的虚拟机，会创建一个独立的虚拟计算机，拥有自己的磁盘、模拟硬件和已安装的操作系统。在这种情况下，隔离性更强，因为客户系统就像一台独立的机器，甚至可以是完全不同的系统（例如，另一个版本的 Windows、Linux 发行版等）。
它最大的优势在于能够在会话之间保持虚拟系统的状态。您可以永久安装程序、维护复杂的配置、搭建服务器，或者创建包含多台交互机器的实验环境。此外，它还提供快照等功能，允许您将机器的状态冻结在特定时间点，并在需要时随时恢复到该状态。
缺点是虚拟机消耗的内存和存储空间要多得多，因为每个虚拟机除了启动时需要预留内存外，还需要几GB的磁盘空间来存放系统和数据。此外，虚拟机在初始设置阶段也需要更多的耐心：你需要创建虚拟机、挂载ISO镜像、安装操作系统、进行更新，并像维护物理计算机一样维护它。
相比之下，Windows 沙盒更注重即时性和简洁性：只需几秒钟即可打开，测试任何内容，关闭后所有内容都会消失，无需管理虚拟磁盘或保存状态。它非常适合快速测试和分析可疑文件或程序，尤其适用于那些只会打开一次或短暂运行的文件或程序。
Hyper-V 和持久性测试实验室
如果您已经拥有 Windows 10 或 11 专业版或企业版，您还可以访问 Hyper-V 虚拟化平台，该平台是 Windows Sandbox 的基础，但它为高级场景提供了更多自定义选项。
借助 Hyper-V，您可以创建一个或多个完全自定义的虚拟机，并配置分配给每个虚拟机的 CPU、内存、磁盘空间和虚拟网卡资源。甚至可以将虚拟机完全断开与互联网的连接，使其与网络隔离——这对于剖析高危恶意软件来说非常理想，因为它可以避免恶意软件与外界通信的风险。
创建虚拟机后，您需要使用 ISO 镜像或预先制作的系统模板，在其上安装操作系统（Windows、Linux 等）。安装完成后，虚拟机就像一台独立的 PC 一样，您可以根据需要随时启动和关闭，并且在会话之间，您的数据和应用程序将保持完整。
Hyper-V 的最大优势之一是能够创建检查点。这使您可以在特定时刻对虚拟机的状态（系统、程序、文件和配置）进行快照。然后，您可以以可控的方式安装软件、测试配置，甚至感染虚拟机。如果出现问题，您只需恢复检查点即可回到初始的干净状态。
这种理念与沙盒非常相似，但它的优势在于能够保存和管理几种不同的状态：一种是系统全新安装的状态，另一种是经过某些更新的状态，还有一种是安装了特定应用程序的状态等等。然而，每个检查点都会占用额外的磁盘空间，因此建议拥有充足的存储容量。
在专业或高级用户环境中，使用 Hyper-V设置完整的虚拟实验室非常常见：一台运行 Windows 10 但没有网络连接的机器用于恶意软件测试，另一台运行 Windows Server 的机器用于测试服务配置，第三台运行 Linux 的机器用于开发，等等，只要硬件允许，所有这些都在同一台物理计算机上运行。
要开始使用，只需从“启用或关闭 Windows 功能”中启用 Hyper-V，这与启用 Windows 沙盒的操作非常相似，然后打开“Hyper-V 管理器”控制台，即可创建和管理虚拟机及其检查点。
何时使用 Windows 沙盒，何时使用其他解决方案
在日常使用中，Windows 沙盒非常适合应对一些突发情况，例如收到可疑附件、从来源不明的来源下载安装程序，或者想要试用某个不打算长期使用的应用程序。您可以打开沙盒，进行测试，然后关闭窗口，之后就可以安心地将一切交给它，因为您的主系统不会受到任何影响。
对于不想处理复杂配置的用户而言，此功能提供了一个即时的“安全区”，无需外部工具或第二台计算机。尤其是在工作或生产环境中，它可以作为非常有用的额外安全层，在将软件安装到生产系统之前对其进行过滤。
另一方面，如果您的目标是长期维护测试环境，并在重启后保留某些程序、特定配置，甚至测试服务器，那么您可能更倾向于选择使用 Hyper-V、VirtualBox 或 VMware 等经典虚拟机，您可以自行决定何时删除或恢复状态。
如果您只想隔离特定应用程序，而无需在另一个系统中运行整个系统，或者您使用的是不包含 Windows 沙盒的家庭版 Windows，那么 Sandboxie 等工具可能是理想之选。在这种情况下，隔离浏览器或电子邮件客户端可以在不消耗太多资源的情况下，降低许多日常攻击的影响。
考虑到以上所有因素，最明智的做法是根据具体场景结合多种策略：使用 Windows 沙箱进行一次性测试，使用虚拟机构建持久性实验环境，必要时还可以辅以 Sandboxie 等应用级沙箱工具。这样，无论是日常快速测试，还是更复杂的开发或分析环境，都能轻松应对。
借助这套选项，任何拥有 Windows 专业版或企业版的用户都可以大幅降低测试可疑程序或危险文件时的风险，利用 Windows 沙盒作为快速简便的第一道屏障，并在需要更强大、更持久的解决方案时依赖 Hyper-V 或第三方解决方案。
