若文件状态为“已删除”而非“已隔离”，则无法通过Defender还原，因系统未保留副本；仅当状态为“已隔离”时，才可通过安全中心、PowerShell或MpCmdRun.exe一键还原至原路径。

当你发现刚下载的开源工具、自己写的脚本或重要文档突然消失，打开 Windows 安全中心一看，历史记录里只显示“已删除”而非“已隔离”，说明 Windows Defender 没走隔离流程直接清除了文件——这种情况下，系统不会保留副本，恢复窗口极窄，必须立刻分路径操作，不能等、不能存新文件、不能重启。

先确认文件状态是“隔离”还是“已删除”

按下 Win + I 打开设置 → 点击「更新和安全」→ 左侧选「Windows 安全中心」→ 右侧点「打开 Windows 安全中心」→ 左侧选「病毒和威胁防护」→ 向下滚动找到「保护历史记录」→ 点击「查看完整历史记录」。

在右上角筛选器中，依次切换「隔离的项目」和「已删除的项目」：如果只在“已删除的项目”里出现目标条目，【说明文件已被彻底清除，无法通过 Defender 自身机制还原】；若出现在“隔离的项目”中，则可直接勾选→点击「还原」→确认放回原位置。

从隔离区一键还原（仅限状态为“隔离”的文件）

第一步：在「保护历史记录」的筛选结果中，找到对应文件条目，确保其“状态”列显示为“已隔离”。

第二步：勾选该条目前方复选框，页面下方会激活「还原」按钮。

第三步：点击「还原」→ 弹窗提示“是否将文件还原到原始位置”，勾选后点「确认」。文件将在 2 秒内回到原来路径，但【还原后务必右键扫描该文件，避免误放恶意程序】。

这一步操作起来很简单，但注意：如果还原后文件打不开或报错，大概率是 Defender 判定它含可疑行为，建议用 VirusTotal 上传哈希值交叉验证。

用命令行强制还原（适用于批量或界面失效时）

方法一：管理员运行命令提示符

在任务栏搜索「cmd」→ 右键「命令提示符」→「以管理员身份运行」→ 输入以下命令（替换为实际文件名）：

"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Restore -Name "setup.exe"

如果文件名带空格或路径，必须用英文双引号包裹全名，例如：-Name "My App Installer v2.1.exe"。

方法二：按名称模糊还原（当不确定完整文件名时）

先执行查询命令获取精确名称："%ProgramFiles%\Windows Defender\MpCmdRun.exe" -GetFiles -Path "C:\Temp\*"，再从返回列表中复制真实名称用于还原命令。

执行成功后，命令行会输出「Operation completed successfully」，文件将自动回到原始目录。若提示「No items found」，说明该文件未被隔离，而是被直接删除。

尝试文件历史记录找回（需提前开启备份）

打开文件资源管理器 → 导航至该文件原本所在的文件夹 → 右键空白处 →「属性」→ 切换到「以前的版本」选项卡。

如果此选项卡为空或显示“在此位置没有可用的以前版本”，说明你从未开启文件历史记录功能，跳过此步。

若有多个时间点可选，逐个点击「查看」，在弹出窗口中确认是否存在目标文件 → 找到后选中 → 点击「还原」→ 选择「还原到原始位置」或「还原到…」指定新路径。

注意：该功能依赖你曾手动启用「文件历史记录」并配置了备份驱动器，且备份周期覆盖文件删除前的时间点。未启用则无效。

最后手段：用数据恢复软件扫描磁盘（仅限“已删除”状态）

立即停止向该磁盘写入任何新数据（包括截图、下载、安装软件），关掉所有可能产生缓存的程序。

下载 Recuva 便携版（官网 direct download，不安装）→ 运行 → 选择文件类型（如“所有文件”）→ 指定原文件所在分区（如 C:\ 或 D:\）→ 勾选「启用深度扫描」→ 开始。

扫描完成后，结果按恢复可能性标色：绿色=高概率完整恢复，黄色=部分覆盖风险，红色=基本不可恢复。双击绿色条目可预览内容（支持文本、图片、Office 文档）。

勾选目标文件 → 点击「恢复」→ 【必须保存到另一块物理硬盘或U盘，绝不可存回原分区】。