- 微软禁用了下载文件的预览功能，以防止 NTLM 凭据泄露。
- 该限制适用于在 10 月份安全更新后带有 Mark of the Web (MotW) 标签的文件。
- 可以通过文件属性手动启用该功能，也可以使用 PowerShell 命令批量启用。
你可能遇到过这种情况：打开文件资源管理器，点击刚下载的 PDF 或图片文件，预览窗格突然变黑，或者出现文件可能存在危险的警告。别慌，别急着检查电脑故障或以为出了什么问题，因为微软最近通过一些更新提升了 Windows 11 和 Windows 10 的安全性。
基本上，雷德蒙德公司决定宁可谨慎过头，也不要冒任何意外风险，因此默认禁用所有标记为“从互联网下载”的文档的预览功能。虽然这可能会给我们的日常生活带来一些不便，但它对于保护我们的凭证和系统隐私却有着至关重要的意义。
究竟发生了什么？为什么它会影响到我们？
这一切混乱始于 10 月 14 日安全补丁的发布，具体来说是针对 22H2 和 23H2 版本的 KB5066793更新，以及针对 24H2 和 25H2 版本的 KB5066835更新。从那时起，系统会将来自网络的文件标记为“网络标记”（Mark of the Web，简称 MotW），以此作为一道安全屏障。
技术上的原因在于存在一个漏洞，该漏洞会导致NTLM 哈希泄露。简单来说：某些带有 HTML 标签的恶意文件可以诱使预览窗格尝试连接到外部服务器。这样一来，Windows 会自动发送用户的身份验证数据，攻击者便可在用户不知情的情况下窃取敏感凭据。为了阻止此类攻击，微软已默认阻止预览这些文件。
如何逐步恢复预览
如果您完全信任文件的来源，并且想要恢复该实用功能，您可以选择多种方法，从最慢但最安全的方法到更自动化的解决方案。
手动方法：逐个文件
如果您只需要快速浏览几个文档，并且不想承担任何风险，这是最佳选择。只需右键单击文件，选择“属性”，然后在“常规”选项卡中找到安全设置部分，您会看到一个名为“解除阻止”的复选框。选中它并单击“确定”，预览就会神奇地重新出现。
批量方法：使用 PowerShell
如果您有一个文件夹，里面装满了 PDF 文件或图片，而您又没有时间逐一查看，可以使用 PowerShell 脚本。但是，只有在您完全信任该文件夹中的所有内容时才应这样做。步骤如下：
- 按下 Windows + X 键并打开 以管理员身份使用 Windows 终端或 PowerShell.
- 要解锁特定路径下的所有 PDF 文件，请键入以下命令：
Get-ChildItem "C:\Tu\Ruta\A\La\Carpeta" -Recurse -Filter *.pdf | Unblock-File - 如果您希望解锁该路径上的所有内容，无论路径长度如何，请使用：
Get-ChildItem -Path "C:\Tu\Ruta\La\Carpeta" -Recurse | Unblock-File
请务必将引号内的路径替换为文件的实际位置（例如，您的“下载”文件夹）。执行后，您可能需要重启文件资源管理器或计算机才能使更改生效。
外部替代方案：快速查看
如果您觉得解锁文件很麻烦，微软商店里有一款名为QuickLook 的出色替代方案。这是一款开源工具，功能与 macOS 类似：您只需选择一个文件，按下空格键，即可立即预览，无论文件是否来自网络，省去了使用 Windows 自带预览面板的麻烦。
特殊考虑因素和限制
需要注意的是，此问题也会影响使用网络驱动器或 NAS 设备的用户。在这种情况下，PowerShell 有时无法识别映射路径或服务器 IP 地址，从而导致批量删除 MotW 标签的操作变得复杂。要解决共享资源上的此问题，建议将服务器地址添加到“本地 Intranet”安全区域或通过控制面板中的“Internet 选项”添加到“受信任的站点”。
这种行为改变虽然激烈，但却是防止操作系统成为身份盗窃入口的必要措施。无论是通过手动解锁属性、运行 PowerShell 命令清理整个文件夹，还是安装 QuickLook 等辅助软件，只要充分了解其中存在的安全风险，就可以再次查看已下载文档的内容。