离线安装Windows补丁的核心是通过Microsoft Update Catalog下载匹配的签名补丁，再用DISM工具以管理员权限执行dism /online /add-package命令安装CAB或MSU包，最后验证并重启生效。
离线环境中导入并安装 windows 补丁，核心是“下对、装准、验稳”——不依赖网络、不靠 windows update 服务，而是通过微软官方离线包 + 系统原生工具完成可信部署。关键不在步骤多，而在每一步都卡住匹配与权限。
从 Microsoft Update Catalog 下载正确补丁
这是唯一安全可信的来源，所有文件带微软数字签名：
- 打开 Edge 或 Chrome，访问 https://catalog.update.microsoft.com
- 搜索目标 KB 编号（如 KB5095093），务必核对“适用操作系统”字段是否精确匹配你的系统（例如 Windows Server 2022 Datacenter x64，不是 “for Windows 11” 或 “ARM64”）
- 运行 systeminfo | findstr "OS Version" 获取完整 build 号（如 10.0.20348.2781），确保补丁版本分支一致
- 下载后保存路径建议为 C:Updates，避免中文、空格和桌面路径
用 DISM 安装 CAB 或 MSU 补丁（推荐在线模式）
DISM 是 Windows Server 和 Win10/11 离线更新最稳定的方式，wusa.exe 在 Server Core 或无 GUI 环境中极易失败：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 以管理员身份运行 PowerShell 或终端
- 安装 CAB（更轻量、适合脚本）：
dism /online /add-package /packagepath:"C:Updateswindows10.0-kb5095093-x64.cab" - 安装 MSU（无需解包）：
dism /online /add-package /packagepath:"C:Updateswindows10.0-kb5095093-x64.msu" - 加 /norestart 参数可暂不重启，便于批量控制时机
- 若报错 0x800f0922，说明缺前置补丁（如服务堆栈更新 SSU），需先装对应 KB（如 KB5034763）
验证安装结果并重启生效
补丁写入注册表和组件存储后，必须重启才能加载新驱动、服务和内核模块：
- 检查是否成功安装：
dism /online /get-packages | findstr "KB5095093" —— 应显示状态为 Installed - 确认无挂起操作：
pending.xml 不存在于 %windir%WinSxS，或运行 psexec -s cmd /c "dism /online /cleanup-image /revertpendingactions" 清理异常状态 - 重启前关闭 SQL Server、AD DS、IIS 等关键服务；域控制器建议在维护窗口执行 shutdown /r /t 0
进阶：批量部署与完整性校验
面向多台服务器时，不能靠远程复制大文件，应采用共享+本地执行模式：
- 将补丁放至 UNC 路径（如 \fileserverpatchesKB5095093.msu）
- 每台服务器上先校验哈希：
certutil -hashfile "\fileserverpatchesKB5095093.msu" SHA256，比对 Catalog 页面提供的值 - 用批处理封装安装逻辑，加入错误捕获：
if %errorlevel% neq 0 echo [FAIL] KB5095093 >> C:logspatch.log - 避免使用 PowerShell 远程命令传补丁文件——易因超时、路径空格或内存溢出中断
