必须启用Windows Sandbox三重隔离机制来安全运行未知安装程序：需专业版/企业版/教育版系统、CPU虚拟化开启、虚拟机平台组件启用；通过optionalfeatures.exe启用沙盒并自动勾选依赖项；再创建禁用网络与剪贴板的.wsb配置文件实现强隔离。
当你需要在 Windows 11 中安全运行未知来源的安装程序（如第三方绿色版、破解工具或未签名的 Setup.exe），又担心它偷偷写注册表、加开机启动项、读取文档或连外网时，必须启用“应用安装隔离沙盒”——它不是单个开关，而是由 Windows Sandbox 全环境隔离 + AppContainer 容器化约束 + 网络/剪贴板禁用三重机制组合构成的安全执行边界。
确认系统与硬件前提条件
Windows 沙盒功能不是装上就能用的玩具，缺一不可：必须是专业版/企业版/教育版；CPU 虚拟化必须开启；系统级“虚拟机平台”组件必须已启用。任意一项不满足，后续所有操作都会失败并报错 0x80070057。
第一步：按 Win + R 输入 winver 回车，核对弹出窗口中版本名是否含 Professional、Enterprise 或 Education；家庭版用户请立即停止操作。
第二步：按 Ctrl + Shift + Esc 打开任务管理器 → 切换到「性能」选项卡 → 点击左侧「CPU」→ 查看右侧「虚拟化」状态是否为“已启用”；若显示“已禁用”，需重启进 BIOS/UEFI 手动开启（Intel 平台找 VT-x，AMD 平台找 SVM Mode）。
第三步：仍在同一「性能」选项卡，点击左侧「内存」→ 向下滚动确认「已启用虚拟机平台」是否为“是”；若为“否”，说明即使虚拟化已开，系统底层组件仍未激活，必须先启用该功能才能继续。
通过 Windows 功能图形界面一键启用沙盒
这是最稳妥、容错率最高的方式，系统会自动识别并勾选全部必需依赖项，无需手动干预底层组件关系。
1、按 Win + R 输入 optionalfeatures.exe 回车，打开「Windows 功能」窗口。
2、向下滚动找到「Windows 沙盒」，在其前方复选框打勾；此时系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」——这两项【绝不可取消勾选】，否则沙盒无法启动。
3、点击「确定」，等待进度条走完；安装完成后弹出提示框，点击「立即重新启动」。
配置 .wsb 文件禁用网络与剪贴板实现安装行为强隔离
默认沙盒允许联网和剪贴板互通，这对测试安装包是重大风险——恶意安装器可能趁机回传设备信息或下载额外载荷。必须通过自定义配置文件关闭这两项能力。
方法一：新建文本文档，重命名为 install-sandbox.wsb（后缀必须是 .wsb）。
方法二：用记事本打开该文件，粘贴以下 XML 内容并保存：
<Configuration><VGpu>Enable</VGpu><Networking>Disable</Networking><Clipboard>Disable</Clipboard><MappedFolders><MappedFolder><HostPath>C:\Downloads\</HostPath><ReadOnly>True</ReadOnly></MappedFolder></MappedFolders></Configuration>
注意：其中 C:\Downloads\ 是你存放安装包的本地路径，必须存在且包含你要测试的 .exe 或 .msi 文件；ReadOnly=True 确保安装包无法被沙盒内进程篡改。
双击运行该 .wsb 文件，沙盒启动后，从左侧资源管理器进入映射文件夹，直接双击安装包即可开始隔离安装测试。
