Windows Sandbox（Windows 沙盒）大概是 Windows 10 近期新增的最实用的安全功能。它基于 Hyper-V 技术，提供了一个隔离环境，让你可以放心测试可疑或不受信任的程序，而不会影响宿主 Windows 10 系统和数据。
沙盒默认没有开启，可以通过“Windows 功能”对话框启用，电脑需支持虚拟化技术（现在大多数电脑都支持）。虽然家庭版没有沙盒功能，但也有变通开启的办法。
每次关闭沙盒时，环境都会被重置为默认状态，已下载的内容和对沙盒所做的修改都会被删除。换句话说，每次启动沙盒，得到的都是一台全新的 Windows 10。
你可能已经发现，Windows 10 本身并不提供修改沙盒默认设置的入口。比如，你无法在禁用网络的情况下启动沙盒。
幸运的是，现在沙盒允许更改一些基础设置了：可以启用或禁用虚拟 GPU（vGPU）、开启或关闭沙盒的网络访问、在宿主系统与沙盒之间共享文件夹，以及通过脚本在登录时执行操作。
不过有个前提：这些设置并不在“设置”应用里，必须借助配置文件（.wsb 文件）来修改沙盒默认设置。好在配置文件用起来相当简单。
使用配置文件控制沙盒
1. 把下面提到的配置代码复制粘贴到记事本，取一个文件名并在末尾加上 .wsb，将“保存类型”改为“所有文件”，然后点击保存。
2. 双击 .wsb 文件，沙盒就会以新设置启动。
重要提示：只有通过双击你创建的 .wsb 文件启动沙盒时，新配置才会生效。如果从开始菜单启动沙盒，使用的仍是默认设置。
配置文件的关键字与取值
禁用虚拟 GPU（vGPU）：
<VGpu>disable</VGpu>
禁用网络：
<Networking>disable</Networking>
示例：下面的配置会同时禁用沙盒中的 vGPU 和网络。
<Configuration>
<VGpu>Disable</VGpu>
<Networking>Disable</Networking>
</Configuration>
登录命令：
<LogonCommand>
<Command>yourcommandhere</Command>
</LogonCommand>
把 yourcommandhere 替换为你希望在登录沙盒时执行的可执行文件或脚本的路径。
共享文件夹：
<MappedFolder>
<HostFolder>宿主文件夹路径</HostFolder>
<ReadOnly>value</ReadOnly>
</MappedFolder>
下面是微软官方提供的一个示例配置：
<Configuration>
<VGpu>Disable</VGpu>
<Networking>Disable</Networking>
<MappedFolders>
<MappedFolder>
<HostFolder>C:\Users\Public\Downloads</HostFolder>
<ReadOnly>true</ReadOnly>
</MappedFolder>
</MappedFolders>
<LogonCommand>
<Command>explorer.exe C:\users\WDAGUtilityAccount\Desktop\Downloads</Command>
</LogonCommand>
想深入了解 Windows Sandbox 的配置选项，可以查阅微软官方的 Windows Sandbox 配置文档。
标签： Windows Sandbox Windows 10 配置文件
