Windows 自带沙盒功能详解

Windows 10/11 专业版和企业版内置了一个被很多人忽略的利器——Windows Sandbox（Windows 沙盒）。它能在几秒内创建一个隔离的、临时的、干净的 Windows 桌面环境，用完即焚，不留痕迹。

这篇文章带你全面了解沙盒的启用、配置、使用和注意事项。

一、什么是 Windows 沙盒？

Windows 沙盒是一个轻量级桌面虚拟化环境，基于 Hyper-V 技术，但不需要你手动创建虚拟机。

核心特性：

特性	说明
即时创建	启动只需几秒钟
原生集成	无需额外下载 ISO 或安装系统
用完即焚	关闭沙盒后所有数据永久删除
隔离安全	沙盒中的操作不影响宿主机
硬件直通	自动使用宿主机的 GPU、网络、内存

适用场景：

打开可疑的邮件附件或文件
测试不信任的软件
在隔离环境中浏览未知网站
临时运行需要管理员权限的工具
演示或测试软件配置

二、启用沙盒的条件

硬件要求

项目	要求
操作系统	Windows 10 专业版/企业版（18305+）或 Windows 11
虚拟化支持	BIOS/UEFI 中开启 VT-x/AMD-V
内存	建议 8GB 以上（沙盒至少占用 4GB）
磁盘	建议 SSD，至少 1GB 空闲空间
CPU	支持虚拟化技术的双核及以上

Windows 10 家庭版/教育版不包含沙盒功能。如果你的系统是家庭版，可以参考文章末尾的替代方案。

检查虚拟化是否开启

打开任务管理器 → 性能选项卡 → CPU：

虚拟化: 已启用    ← 需要是这个状态

或在 PowerShell 中运行：

systeminfo | findstr "虚拟机"
# 输出应包含：    已启用

如果显示"已禁用"，需要进入 BIOS/UEFI 开启虚拟化技术（Intel VT-x 或 AMD SVM）。

启用沙盒功能

方法一：图形界面

打开 控制面板 → 程序和功能
点击左侧 "启用或关闭 Windows 功能"
在弹出的列表中找到 "Windows 沙盒"
勾选 → 确定 → 重启

方法二：PowerShell

# 以管理员身份运行
Enable-WindowsOptionalFeature -Online -FeatureName "Containers-DisposableClientVM"

# 重启
Restart-Computer

方法三：DISM

dism /online /enable-feature /featurename:Containers-DisposableClientVM /all /norestart

重启后，在开始菜单中找到 "Windows Sandbox" 并启动。

三、基本使用

启动沙盒

开始菜单 → 搜索 "Sandbox" → 点击 Windows Sandbox

首次启动可能需要 10-20 秒，之后每次启动不到 5 秒。

你会看到一个干净的 Windows 桌面——没有安装任何软件，没有个人文件，就是一份原版 Windows。

在沙盒中操作

在沙盒窗口内，你可以像正常使用 Windows 一样操作：

下载和安装软件
运行文件
访问网站
修改系统设置

从宿主机复制文件到沙盒

拖拽或复制粘贴即可：

在宿主机上复制文件（Ctrl+C）
切换到沙盒窗口，粘贴（Ctrl+V）
文件会出现在沙盒的桌面上

反向操作同样支持：从沙盒复制文件到宿主机。

关闭沙盒

直接关闭沙盒窗口，会弹出一个确认对话框：

Windows 沙盒
沙盒中的所有内容和更改都将被丢弃。是否继续？

点击 "确定" 后，沙盒中的一切永久销毁——安装的软件、创建的文件、修改的配置全部消失。

四、高级配置：沙盒配置文件

Windows 沙盒支持通过 .wsb 配置文件进行高级定制。这是一个 XML 文件，可以控制沙盒的硬件资源、网络访问、共享文件夹等。

配置文件结构

<Configuration>
  <!-- 虚拟 GPU 加速 -->
  <vGPU>Enable</vGPU>

  <!-- 网络访问 -->
  <Networking>Enable</Networking>

  <!-- 内存限制（单位 MB） -->
  <MemoryInMB>8192</MemoryInMB>

  <!-- 映射宿主机文件夹到沙盒 -->
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Software</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\Tools</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>

  <!-- 沙盒启动时自动运行的脚本 -->
  <LogonCommand>
    <Command>powershell -executionpolicy unrestricted -file C:\Users\WDAGUtilityAccount\Desktop\Tools\init.ps1</Command>
  </LogonCommand>
</Configuration>

常用配置项

配置项	值	说明
`<vGPU>`	`Enable` / `Disable`	启用/禁用虚拟 GPU（禁用后使用软件渲染）
`<Networking>`	`Enable` / `Disable`	启用/禁用网络访问
`<MemoryInMB>`	数字（如 4096）	分配给沙盒的内存大小
`<MappedFolders>`	文件夹列表	映射宿主机目录到沙盒
`<LogonCommand>`	命令	沙盒登录后自动运行

保存并运行配置文件

将 XML 保存为 .wsb 文件，双击即可启动配置好的沙盒。

示例：隔离运行可疑程序

<Configuration>
  <Networking>Disable</Networking>         <!-- 断网，防止恶意软件联网 -->
  <MappedFolders>
    <MappedFolder>
      <HostFolder>D:\Downloads\suspicious</HostFolder>
      <SandboxFolder>C:\Test</SandboxFolder>
      <ReadOnly>true</ReadOnly>             <!-- 只读映射，防止沙盒污染宿主机文件 -->
    </MappedFolder>
  </MappedFolders>
</Configuration>

示例：软件测试环境

<Configuration>
  <vGPU>Enable</vGPU>
  <MemoryInMB>8192</MemoryInMB>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Installer</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\Installer</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>start C:\Users\WDAGUtilityAccount\Desktop\Installer\setup.bat</Command>
  </LogonCommand>
</Configuration>

五、沙盒的限制

限制	说明
无持久化	重启沙盒后一切归零，无法保留数据
仅限专业版/企业版	家庭版用户无法使用
不支持嵌套虚拟化	不能在沙盒中运行 WSL2、Hyper-V、安卓子系统
GPU 性能有限	vGPU 不支持 DirectX 12、CUDA 等高阶 GPU 功能
无音频输入	沙盒内不支持麦克风
只能开一个	默认不支持同时运行多个沙盒实例

六、沙盒 vs 虚拟机 vs WSL

对比项	Windows 沙盒	Hyper-V 虚拟机	WSL 2
启动速度	秒级	分钟级	秒级
隔离程度	✅ 完全隔离	✅ 完全隔离	⚠️ 半隔离（文件互通）
数据持久化	❌ 关闭即销毁	✅ 可保留	✅ 可保留
图形界面	✅ 完整桌面	✅ 完整桌面	❌ 命令行
GPU 加速	⚠️ 部分支持	✅ 完整支持	✅ 完整支持
适用场景	临时测试/可疑文件	长期运行的虚拟机	Linux 开发工具链

七、家庭版用户替代方案

如果你的系统是 Windows 家庭版，有以下替代方案：

方案一：沙盒增强脚本

有第三方脚本可以在家庭版上强制启用沙盒，但不保证稳定性，系统更新后可能失效。

方案二：使用第三方沙盒软件

软件	类型	特点
Sandboxie Plus	沙盒	开源，不依赖虚拟化，兼容性好
Toolwiz Time Freeze	系统还原	重启后恢复系统状态
VMware Workstation Player	虚拟机	免费，功能完整，需手动安装系统

方案三：Windows 10/11 企业版评估版

微软提供 90 天企业版评估镜像，包含沙盒功能，适合临时使用。

八、注意事项

安全提醒

沙盒不是万能的，某些高级恶意软件可能检测到沙盒环境并隐藏行为
沙盒中的网络隔离不是默认的，检查可疑文件时建议断网（<Networking>Disable</Networking>）
不要因为用了沙盒就放松警惕——涉及密码、敏感信息等仍需谨慎

已知问题

# 沙盒启动失败：错误 0x80070070
# 原因：磁盘空间不足
# 解决：清理磁盘，确保至少 1GB 空闲空间

# 沙盒启动失败：0x80072746
# 原因：网络配置问题
# 解决：检查 Hyper-V 虚拟交换机配置

# 沙盒运行卡顿
# 原因：内存不足
# 解决：通过配置文件增加内存分配

清理残留

虽然沙盒关闭后自动销毁，但偶尔会留下一些 Hyper-V 的虚拟交换机或 VHD 文件：

# 查看虚拟交换机
Get-VMSwitch

# 确认无残留沙盒文件
Get-ChildItem "$env:LOCALAPPDATA\Temp" -Filter "*Sandbox*"

九、总结

Windows 沙盒是一个被低估的系统内置工具。它的核心使用场景就三个：

场景	做法
打开可疑文件	把文件拖进沙盒，断网打开
测试不信任软件	在沙盒中安装试用，用完关闭
临时工作环境	在沙盒中处理一次性任务，不留痕迹

如果你用的是 Windows 专业版/企业版，花一分钟启用它，关键时刻能省很多事。

目录