Windows Defender离线扫描可在预启动环境查杀顽固病毒，支持五种启动方式：一、安全中心界面操作；二、运行命令windowsdefender://Threat/；三、PowerShell执行Start-MpWDOScan；四、BitLocker环境下先禁用再扫描；五、命令行调用MpCmdRun.exe -Scan -Scantype 9。
如果您怀疑电脑中存在驻留内存、隐藏驱动或自保护型顽固病毒木马，常规扫描可能无法触及，此时需在Windows系统尚未加载前启动反恶意软件环境。Windows Defender离线扫描正是为此设计，它在预启动环境中运行，可有效查杀绕过实时防护的高级威胁。
一、通过Windows安全中心界面启动脱机扫描
该方法适用于图形界面正常响应的场景，操作路径直观，由系统内置入口直接触发脱机环境初始化。
1、按 Win + I 打开设置，进入“隐私和安全性”→“Windows 安全中心”→“病毒和威胁防护”。
2、在“当前威胁”下方点击“扫描选项”，进入扫描类型选择页面。
3、在列表中找到并点击“Microsoft Defender 防病毒脱机版”（Windows 11）或“Microsoft Defender 脱机版扫描”（Windows 10）。
4、点击“立即扫描”，系统将提示保存工作并重启。
二、使用运行命令快速调用脱机扫描入口
该方式跳过逐层菜单导航，适合熟悉系统命令的用户，可避免因界面卡顿导致的入口不可达问题。
1、按 Win + R 打开“运行”对话框。
2、输入命令：windowsdefender://Threat/，点击“确定”直接打开Windows安全中心的威胁防护页。
3、在页面中点击“扫描选项”，定位到脱机扫描条目并选中。
4、点击“立即扫描”，确认重启操作。
三、通过PowerShell强制触发脱机扫描
此方法利用系统级权限绕过UI限制，适用于安全中心组件异常、图标缺失或策略禁用图形入口的情况。
1、以管理员身份运行PowerShell：右键“开始”按钮 → 选择“Windows Terminal（管理员）”或“Windows PowerShell（管理员）”。
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
2、执行命令：Start-MpWDOScan，该命令直接调用Windows Defender脱机扫描服务。
3、命令执行后，系统将自动弹出确认重启提示，无需额外点击界面按钮。
4、确认后设备立即重启，进入黑屏扫描环境。
四、手动准备并启动脱机扫描（BitLocker环境适配）
当系统驱动器启用BitLocker加密时，脱机扫描无法直接访问加密卷，必须提前暂停保护状态，否则扫描将失败或中止。
1、以管理员身份运行命令提示符，输入：manage-bde -protectors -disable C:（假设系统盘为C:）。
2、等待提示“操作成功完成”后，关闭窗口。
3、按前述任一方式（界面、运行命令或PowerShell）启动脱机扫描。
4、扫描完成后，建议立即恢复BitLocker保护，执行：manage-bde -protectors -enable C:。
五、通过命令行工具mpcmdrun.exe调用脱机扫描
该方法依赖Windows Defender原生命令行接口，兼容性覆盖Windows 8.1至Windows 11，适用于脚本集成与批量部署场景。
1、以管理员身份打开命令提示符或PowerShell。
2、切换至Defender工具目录：cd /d "%ProgramFiles%\Windows Defender"。
3、执行脱机扫描指令：MpCmdRun.exe -Scan -Scantype 9（参数9代表脱机扫描模式）。
4、屏幕将显示“正在准备脱机扫描环境”，随后提示重启，无需人工干预后续流程。
