黑屏但鼠标可动说明Windows内核已加载，故障在图形界面层；需检查explorer.exe是否运行、显卡驱动是否异常、Winlogon的Shell值是否为explorer.exe，并通过事件查看器筛选错误日志定位具体原因。
电脑开机后屏幕全黑但鼠标箭头可自由移动，说明Windows内核与基础驱动已加载完成，问题锁定在用户图形界面层，需通过进程状态、驱动行为和系统日志三路并进快速定位故障源头。
确认是否为explorer.exe崩溃
按 Ctrl + Shift + Esc 直接调出任务管理器；若失败，改按 Ctrl + Alt + Delete → 选择“任务管理器”。
进入后切换到“详细信息”选项卡，向下滚动查找 explorer.exe 进程是否存在。如果列表里压根没有它，基本可以断定是资源管理器未启动或启动即退出——这是最常见原因，占黑屏亮鼠标的七成以上。
如果看到 explorer.exe 存在但 CPU 占用长期为 0 或反复闪现后消失，说明它正在尝试加载却遭遇阻断，大概率被第三方外壳扩展（如某网盘右键菜单、旧版压缩工具）劫持了初始化流程。
检查显卡驱动是否异常
在任务管理器中点击“文件”→“运行新任务”，输入 devmgmt.msc 并回车，打开设备管理器。
展开“显示适配器”，观察右侧设备名称旁是否有黄色感叹号。有则代表驱动加载失败或签名不合法；无感叹号也不代表正常——某些新版驱动会在后台静默报错却不提示图标。
双击显卡设备→“驱动程序”选项卡→点“驱动程序详细信息”，查看文件列表中是否存在 dxgkrnl.sys 或 dxgmms2.sys 加载失败记录。这两个文件缺失或版本错配，会导致桌面合成引擎（DWM）无法启动，从而黑屏仅留指针。
排查Winlogon会话初始化异常
方法一：通过注册表快速验证
在任务管理器中运行新任务，输入 regedit，导航至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
检查右侧数据项 Shell 的数值是否为 explorer.exe。若被篡改为其他路径（如空值、cmd.exe、或某个可疑程序），系统将跳过桌面加载直接挂起——这是恶意软件或误操作的典型痕迹。
方法二：观察安全模式是否能进
重启电脑，在厂商Logo出现瞬间连续敲击 F8（Win10/11需配合Shift+F8或强制中断三次启动触发恢复环境），尝试进入“带网络连接的安全模式”。【若安全模式下桌面正常，则排除硬件与固件问题，100%指向常规驱动/服务/策略冲突】
抓取实时错误事件
在任务管理器中运行新任务，输入 eventvwr.msc 打开事件查看器。
依次展开：Windows 日志 → 系统 → 右侧“筛选当前日志”，设置事件级别为“错误”+“警告”，时间范围选“最近1小时”，来源勾选：
• Winlogon
• Desktop Window Manager
• Application Error
• Service Control Manager
重点看ID为 1001（应用程序崩溃）、7000（服务启动失败）、7023（Winlogon子系统终止）的条目。其中一条记录若显示“explorer.exe terminated with exit code 0xc0000409”，基本可判定为堆栈溢出或DLL注入冲突，需立即禁用最近安装的右键增强类软件。
