Windows Sandbox可提供启动快、完全隔离、关闭即焚的测试环境，需系统为专业版/企业版/教育版，且BIOS中启用虚拟化、Windows中启用“虚拟机平台”等三项功能，重启后方可使用，并支持通过.wsb文件禁用网络或映射只读主机文件夹。
你需要在Windows上运行来历不明的安装包、测试新软件或浏览高风险网站，又不想让任何操作痕迹残留或影响主系统文件、注册表和网络设置——这要求一个启动快、完全隔离、关闭即焚的办公测试工作台。
确认硬件与系统基础支持
按下 Win + R，输入 winver 回车，确认系统版本名称中包含 Professional、Enterprise 或 Education；家庭版不支持该功能，无法继续。
按 Ctrl + Shift + Esc 打开任务管理器 → 切换到「性能」选项卡 → 左侧点击「CPU」→ 查看右侧「虚拟化」是否显示为「已启用」；若为「已禁用」，必须重启进入BIOS/UEFI，找到 【Intel VT-x】 或 【AMD-V】 选项并设为 Enabled，否则后续所有步骤均无效。
仍在任务管理器「性能」页，点击左侧「内存」→ 确认「已启用虚拟机平台」为「是」；如为「否」，说明 Windows 功能未就绪，需先启用依赖项。
启用 Windows Sandbox 及底层组件
按下 Win + R，输入 optionalfeatures.exe 回车，打开「Windows 功能」窗口。
勾选三项：「Windows 沙盒」、「虚拟机平台」、「Windows Hypervisor Platform」；【三者必须同时启用，缺一不可】。系统会自动关联勾选后两项，但请手动核对，避免被意外取消。
点击「确定」→ 等待配置完成 → 弹出提示时选择「立即重新启动」；重启后功能才真正激活，跳过此步将无法启动沙盒。
启动并验证隔离工作台
重启完成后，在开始菜单搜索「Windows Sandbox」，点击运行。
等待约 5–8 秒，一个独立的白色窗口出现，桌面右下角显示「Windows Sandbox」水印，任务栏无 Edge、无 OneDrive、无用户账户图标——这是纯净镜像的明确信号。
此时你在沙盒内做的任何事都与主机物理隔离：新建文本文档、安装 Notepad++、修改注册表项、添加开机启动项，全部不会写入真实系统；关闭窗口即永久销毁，不留任何残留文件或进程。
进阶控制：用 .wsb 文件定制安全边界
方法一：禁用网络，彻底阻断外连风险
用记事本新建文本文件，粘贴以下内容：
保存为 no-net.wsb（注意扩展名必须是 .wsb），双击即可启动一个【默认断网】的沙盒——适合运行本地 EXE、分析离线脚本或处理敏感文档。
方法二：映射主机文件夹，实现可控数据交换
在同个 .wsb 文件中加入共享路径声明：
保存后双击运行，沙盒桌面上会出现「HostFolders」快捷方式，点开即可读取 C:\SandboxData 内容；【ReadOnly=true 表示沙盒无法修改主机文件，防止误删或恶意覆盖】。
