服务进程被杀毒软件拦截表现为无法启动、秒退或日志提示“拒绝访问”“被阻止”，需通过查PID、隔离区、签名哈希、行为日志确认误报，再添加白名单并降权运行。
服务进程被杀毒软件拦截，通常表现为服务无法启动、启动后立即停止、日志中出现“拒绝访问”“权限不足”“被阻止”等提示，或系统无明显报错但服务始终处于“已停止”状态。排查核心是确认杀软是否主动终止、隔离或阻止了该服务的进程、驱动或相关文件。
一、确认服务对应进程是否被实时拦截
先查清服务名对应的可执行文件和PID：
- 打开命令提示符（管理员），执行：sc queryex "YourServiceName"，获取服务状态及PID
- 再用：tasklist /fi "pid eq XXXX"（替换XXXX为实际PID）验证进程是否存在
- 若进程秒退或查不到，立即运行：tasklist /svc | findstr "YourServiceName"，看是否有残留服务名匹配项
- 同时检查Windows安全中心的“保护历史记录”→筛选“阻止的应用”，查看服务主程序（如myservice.exe）是否在近期被拦截
二、检查服务文件与驱动是否被隔离或标记为威胁
很多杀软会静默隔离服务的主程序、DLL或驱动文件（尤其是.sys类），导致服务加载失败：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 打开杀毒软件界面（如火绒/360/Defender），进入“隔离区”或“防护日志”，按时间倒序查找服务安装路径下的文件（如C:\Program Files\MyApp\service.exe或C:\Windows\System32\drivers\mydrv.sys）
- 重点核对文件签名：右键文件→属性→“数字签名”选项卡，确认是否由可信发布者签名；若签名无效或缺失，杀软大概率会拦截
- 用PowerShell快速验证哈希一致性（适用于已知干净版本）：Get-FileHash "C:\path\to\service.exe" -Algorithm SHA256，比对官网发布的哈希值
三、验证杀软是否通过行为规则阻断服务动作
部分EDR或高级杀软不拦截文件本身，而是监控服务行为（如注册表写入、驱动加载、提权操作），触发策略后直接终止进程：
- 临时禁用杀软实时防护（非卸载），再手动启动服务测试——若能成功，则基本锁定为行为拦截
- 检查服务启动日志：eventvwr.msc → Windows日志 → 系统 → 筛选来源为Service Control Manager，关注错误事件ID 7000、7009、7024
- 若日志显示“服务未响应控制请求”或“超时”，但进程实际未运行，很可能是杀软在服务调用NtLoadDriver或CreateService时进行了内核级拦截
四、添加白名单并调整服务运行上下文
确认是误报后，需针对性放行，而非简单关杀软：
- 对Windows Defender：用管理员PowerShell执行
Add-MpPreference -ExclusionProcess "service.exe"
Add-MpPreference -ExclusionPath "C:\Program Files\MyApp\" - 对第三方杀软（如火绒、360）：必须进入其“信任区”或“自定义防护”模块，逐个添加服务主程序、安装目录、驱动路径——不能只勾选“信任所有签名程序”
- 降低服务提权风险：在services.msc中右键服务→属性→登录选项卡，将“此账户”从“本地系统”改为“网络服务”或专用低权限服务账户
