📘 Win系统实战手册 | 第21期

给别人修机器，十个里有三个是这么来的："我就装了个XX，然后浏览器主页变了、右下角老弹广告、开机比以前慢半分钟。"软件本身没毛病，毛病出在它不是从正门进来的。

"高速下载"按下去，进来的是什么

下载站的页面上常并排摆着好几个按钮，"高速下载""本地下载""普通下载"，字最大、颜色最显眼的那个，点下去给你的往往不是安装包，而是一个下载器——几MB的小程序，运行后它再去拉真正的安装包，顺带把合作推广的几款一并装上，勾选项是默认帮你选好的，只在最后一页留一行小字。

怎么分辨？三个特征：一是下载下来的文件和官网体积对不上，明明是几十MB的软件，下来只有一两MB——除非官网明确说给的就是在线安装器（几MB的启动器，进去再拉完整包，浏览器和开发工具常见），那种体积小是正常的；二是文件名带一串奇怪的后缀，或者图标是个通用exe的样子；三是运行后先弹的是"正在获取下载链接"，而不是软件自己的安装界面。碰到这三条，直接取消，把下载的东西删掉。

这种东西算不上病毒，杀毒软件未必报，微软把它归进"可能不需要的应用"这一类——不至于破坏系统，但会让机器变慢、弹广告、改浏览器设置，严重的还会继续装别的软件。系统里其实有对应开关：打开Windows安全中心→应用和浏览器控制→基于声誉的保护设置，最下面那项"可能不需要的应用阻止"（不同版本文案略有差异，有的写成"阻止可能不需要的应用"），把它打开，并同时勾上"阻止应用"和"阻止下载"。微软的官方说明里有一句要留意：这项默认对企业版和消费者都是关闭的，得自己开；而且"阻止下载"这一项只在Edge浏览器上生效，"阻止应用"则不管你用哪个浏览器，装到本地时照样能查出来。要给一批机器开别一台台点：管理员PowerShell里跑Set-MpPreference -PUAProtection Enabled（数值1等价，2是只记不拦的审计模式），或者用组策略、Intune统一下发。

认准官网：四眼看一遍就够了

第一眼看域名。搜索引擎结果里带"广告"标记的那几条，多半是仿站。真官网的域名通常就是品牌名本身，仿站爱在后面加数字、加"-cn"、加"download"之类的词。点进去先别急着点下载，看一眼地址栏。

第二眼看连接是不是加密的。地址栏左边那把锁，没有或者提示不安全的，正经软件官网基本不会这样。这条不能反过来用——有锁只能说明传输是加密的，不说明这个站是官网。

第三眼看数字签名。下载完右键安装包→属性→数字签名选项卡，看签名者是不是你认识的开发商主体。签名有效只说明这个包从签完到现在没被改过，名字像不等于就是它——证书主体名可以是任何注册的公司名，仿站挂的包照样能签一个很像的证书，差一个字母、多一个Ltd.都要警惕。反过来，很多正规小工具和开源包根本不签名，没有这一栏不代表有问题，那就靠域名和校验值兜底。

还有一层别省：官网下来的安装包也可能自带"推荐安装"。国内不少软件的官方安装包本身就带推广，勾选项是默认帮你选好的，藏在"自定义/高级安装"里。装的时候先找自定义或高级安装，把额外软件、设默认浏览器、开机自启这些勾全去掉。这一步不做，后面收尾那两分钟白干。

顺带说一句"XX之家""XX下载站"这类站点：它们不算恶意站点，但商业模式就是把流量导给下载器，最大的按钮永远不是最安全的那个。真要用就找"普通下载"或直接给的官方链接，不点任何写着"高速"的按钮。

winget：跳过中间商的那条路

系统自带一个命令行装软件的工具，叫Windows程序包管理器，命令就是winget。它的原理说白了就一句：清单里记的是软件官方的下载地址，它照着地址去官方取，不经过任何下载站。清单由微软维护的仓库统一收录，新增和修改要走提交审核，不是谁想改就能改。这么一来，"找官网"和"躲下载器"两步就一起省了。

顺带补一句"系统自带"的边界：它随Win11和较新的Win10预装，载体是Microsoft Store里那个"应用安装程序（App Installer）"。给旧机器配环境时这一步必踩——老版本可能压根没有或者太旧，敲winget会提示你去装或更新它，而这个命令行工具本身也要Win10 1809及以上才支持。

几个用得上的细节：先search再装，用包ID而不是名字，名字容易出现好几个相似的包，-e是精确匹配，写上它就不会弹出来让你挑。批量更新最省事——以前要挨个打开软件点"检查更新"，现在一条命令，对管机器的尤其划算。导出清单是装机神器，自己机器上跑一次导出，拿到新机器或者给别人配机器时一条导入，常用的那十几个软件自动装完。这里有两个口径要清楚：一是list和export只看winget认得出的应用，手动拷的、静默装的、多数绿色软件不在里面；二是export时源里匹配不到的会给出警告，所以导入时带上--ignore-unavailable，源里没有的包不会让整批安装卡在半路。

还有个权限上的差别，日常请用普通窗口跑winget：普通窗口里遇到要提权的包会弹UAC让你确认，管理员窗口里这道确认就不出现了——微软文档专门提醒过，管理员命令行下只装你信得过的软件。别把管理员终端当日常窗口开着，省掉的正是最后那道确认。另外不是所有安装包都吃这套，有些自己还会再弹一次，看见正常点就行。

它也不是万能的：收录不全，很多国产软件和小众工具没有清单，装不了就是装不了；清单里记的地址多数是官方地址，也可能指向镜像或CDN，所以它是降低风险，不是零风险，该做的收尾别省；商店源和社区源是两回事，winget source list能看到启用了哪几个源。没有清单的软件，回到官网那条路。

绿色软件：什么时候该选，什么时候别选

绿色版（便携版）指的是解压就能跑、不往系统里写注册表、删掉文件夹就算卸载的那类——这是理想情况，实际上不少便携版仍会往%AppData%或HKCU下写配置，个别还写自启；U盘带走的那类更要留意它在目标机器上留下了什么。它有三个实打实的好处：不占启动项、不留残留、能塞进U盘带着走——去现场排查的时候，U盘里装上Everything、WizTree这类工具，插上就用，不用在人家机器上装东西，也不用担心卸不干净。

但它有三个前提，不满足就别图省事。一是来源必须可靠：优先用开发商官方提供的便携版（官网给的zip包或标注Portable的那个），而不是别人二次打包的"绿色版"——后者是把安装版拆出来的，拆的人动了什么你不知道，这跟从下载站下软件是一个性质的问题。二是没有自动更新：安全类、浏览器类软件用绿色版，补丁跟不上，风险比麻烦大。三是系统集成得自己补：文件关联、右键菜单、开机自启这些，安装版帮你配好的，绿色版通常要手动来。

所以判断标准很简单：临时用、带出去用、只想看看好不好用的，选绿色版；长期用、要常更新、要跟系统深度配合的，装正式版。同一台机器上混着用没问题，别反过来——把天天要用的主力软件弄成绿色版，最后往往是版本越用越旧。

装完之后：两分钟收尾

不管从哪条路装的，装完花两分钟看四处，能省掉后面很多麻烦。一去任务管理器的"启动"页看一眼，新装的软件是不是偷偷挂上了开机自启，不需要就禁用；二看安装目录，装完留了个"XX安全卫士""XX助手"的，那个多半是搭进来的；三去"已安装的应用"里按安装时间排序，看同一时间是不是多出一批不认识的——"卸载了又冒出来""桌面多了几个图标"就是这么解的，一起卸掉，别急着下清理软件；四看浏览器，主页和默认搜索被改过没有，扩展里有没有多出来不认识的东西。

浏览器主页那种"改回来又变回去"的，多半不是主页设置的问题：常见于组策略或者注册表里被锁住了（单位机器、被管控软件动过的机器尤其多），这时候去策略里查，在浏览器设置里反复改是白费劲。

装软件真正费时间的不是安装那三分钟，是清理搭进来的东西那半小时。规矩立住之后反而最省事：能走winget的走winget，走不了的认准官网，临时用的挑官方绿色版，下载站只当索引、不当来源。

预告：下期聊开机自启这件事——任务管理器里能管的和管不了的分别是什么，注册表里那几个Run键值藏在哪，计划任务怎么偷偷把程序拉起来，以及那个shell:startup文件夹到底该放什么。

📂往期文章：

👉 Win10还是Win11？LTSC还是专业版？装机第一步就选错，后面全是坑（第01期）👉 新装系统必改的8个设置，第4个70%的人都没有配置（第02期）👉 系统信息查看：10个命令摸清电脑底细（第03期）👉 拒绝Ghost和修改版！3种方式安装纯净Win11（第04期）👉 C盘到底分多大？分小了天天弹"磁盘空间不足"（第05期）👉 首次开机向导：这些坑千万别踩（第06期）👉 Win11激活不花冤枉钱：3种正规方式一次讲透（第07期）👉 Win11界面大改：这几个变化用了就回不去（第08期）👉 Win快捷键：从鼠标党到键盘流，我只用了三周（第09期）👉 任务管理器你只会看CPU占用？这些功能浪费了（第10期）👉 输入法设置全解：中英切换失灵、候选框消失一次搞定（第11期）👉 弹窗太多烦死人？Win免打扰3分钟清净（第12期）👉 Win11个性化设置：5分钟让系统不再顶着一张"默认脸"（第13期）👉 日期、时间与区域：同步不准？时区混乱？一次搞定（第14期）👉 回收站、临时文件、环境变量：数据删除与恢复的边界（第15期）👉 文件命名与整理 —— 文件夹应该怎么搭？（第16期）👉 磁盘分区实战：C盘红了怎么办？（第17期）👉 存储感知：C盘红了它自动救，开启这3个开关（第18期）👉 NTFS权限：读取、写入、修改、完全控制到底差在哪？（第19期）👉 U盘和移动硬盘：安全弹出、格式选择、写保护一次讲透（第20期）