深色模式
安全软件与拦截
本章你将学到：Windows 自带的 Defender、防火墙、SmartScreen 各自管什么、在哪看拦截记录、怎么加排除；第三方杀软和"管家"类软件会对我们的程序做哪几类事（拦安装、隔离文件、阻止驱动、结束进程、注入崩溃、禁服务、改 DNS）；网吧管理软件为什么是另一个量级的干扰源；怎么区分"被拦截"和"自己崩了"；白名单是什么、怎么让用户加；以及关于关闭安全软件的红线。
什么时候用得上：程序凭空消失没有任何报错；安装到一半失败；文件校验反复失败、修复后又缺；反作弊报驱动加载失败；"Windows 已保护你的电脑"；登录连不上但网页正常；网吧机器上程序打不开；用户说"装了 360 / 火绒 / 电脑管家"。这类问题在所有工单里占比很高。
为什么安全软件是头号嫌疑
安全软件的工作方式是：监视所有程序的行为，对它认为可疑的动作进行阻止、隔离、删除，而且很多时候是静默的。
我们的客户端和反作弊恰好做了一堆在安全软件眼里"可疑"的事：下载大量可执行文件、加载内核驱动、监视其他进程、修改注册表、开机自启、联网传数据。一个合法的反作弊和一个恶意软件在行为上非常像，安全软件分不清是正常的。
结果就是：用户什么都没做，程序自己消失了 / 文件少了 / 驱动装不上 / 连不上网。用户不知道是杀软干的，因为杀软经常不弹窗或弹窗一闪就过。
大白话
杀软是小区保安，反作弊是穿着便装、带着工具箱、要进配电室的维修工。保安拦他很正常，问题是保安有时候不但拦，还把他的工具箱扣了、人赶走了，然后什么都不说。住户（用户）只知道"维修工怎么还没来"。
一个数量级的概念：在"程序无声消失""安装失败""校验反复失败"这三类问题里，安全软件相关的比例非常高。排查这三类问题时，"装了什么安全软件"永远是第一批要问的，见 信息收集。
Windows Defender
Win10/11 自带的杀软，叫"Windows 安全中心"或"Microsoft Defender"。没装第三方杀软的电脑上它默认开着；装了第三方杀软后它会自动关闭实时保护（避免两个杀软打架）。
实时保护
时刻监视文件的创建和运行，发现"威胁"就隔离。它对我们的影响：
| 行为 | 表现 |
|---|---|
| 下载 / 解压过程中扫描每个文件 | 下载和校验变慢，磁盘 100% 时资源监视器里 MsMpEng.exe 在读游戏目录 |
| 误判某个文件为威胁 | 文件被移进隔离区，程序"缺文件"、校验失败、"找不到 xxx.dll"（dll 名字不在运行库表里） |
| 云保护延迟 | 第一次运行新程序时卡几秒到几十秒 |
在哪看隔离记录
让用户怎么做：
- "点屏幕右下角的盾牌图标（或开始菜单搜索'Windows 安全中心'）。"
- "点'病毒和威胁防护'。"
- "点'保护历史记录'。"
- "列表里找最近的记录，尤其是'已隔离的威胁''已删除的威胁''已阻止'。点开每一条看'受影响的项目'里的文件路径，截图给我。"
| 看到 | 说明 |
|---|---|
| 有记录，路径是我们的安装目录下的文件 | 就是它干的。让用户点那条记录 → "操作" → "还原"，然后加排除项 |
| 有记录，路径是我们的文件，威胁名带 "Trojan" / "HackTool" / "PUA" 字样 | 误报。PUA（潜在有害应用）是最常见的误报类别 |
| 有记录，但路径是别的东西（用户下载的破解工具、外挂） | 与我们无关，但要留意用户电脑环境 |
| 没有任何记录 | Defender 没动手。看是不是有第三方杀软接管了（保护历史里会显示"由其他防病毒提供商管理"） |
排除项怎么加
排除项 = 告诉 Defender "这个文件夹 / 文件 / 进程不要扫"。
- "Windows 安全中心 → 病毒和威胁防护 → 往下找'病毒和威胁防护设置'，点'管理设置'。"
- "往下滚到'排除项'，点'添加或删除排除项'。"
- "点'添加排除项'，选'文件夹'，选我们的安装目录（比如
D:\R0），确定。" - "如果有单独的游戏目录，同样再加一个。"
排除类型有四种：文件、文件夹、文件类型、进程。加文件夹最省事也最稳。
受控文件夹访问
Defender 的"勒索软件防护"功能，开着的时候阻止未授权程序修改文档、图片、桌面等受保护文件夹。默认关闭，但有些用户开了。开着时如果游戏或客户端的配置 / 存档在"文档"里，会写不进去，保护历史里会有"已阻止的文件夹访问"记录。
处理：Windows 安全中心 → 病毒和威胁防护 → 勒索软件防护 → 管理勒索软件防护 → "允许应用通过受控文件夹访问" → 添加我们的程序。或者直接关闭受控文件夹访问（它默认就是关的）。
Windows 防火墙
防火墙控制哪个程序可以联网、哪些端口开放。它一般不影响"出站"（程序主动连服务器），主要影响"入站"（外面连进来）。
入站 / 出站
| 方向 | 默认策略 | 对我们的影响 |
|---|---|---|
| 出站（程序主动连出去） | 默认全部允许 | 除非有人手动加了出站阻止规则（某些"管家"软件的"联网管控"会），否则不拦 |
| 入站（别人连进来） | 默认全部阻止，程序第一次监听端口时弹窗问"允许此应用通过防火墙吗" | 用户点了"取消"就被拦了；游戏对战多为客户端主动连服务器，入站需求少，但某些功能（局域网、P2P 传输、语音）可能需要 |
公用 / 专用网络配置文件
Windows 把每个网络标记成"公用"或"专用"，两种配置文件的防火墙规则分开。连新 WiFi 时弹的"是否允许其他设备发现此电脑"就是在问这个。
| 配置文件 | 默认 | 常见坑 |
|---|---|---|
| 专用 | 较宽松 | 家里应该是这个 |
| 公用 | 严格，几乎不允许入站 | 家里网络被误标成公用，之前"允许通过防火墙"时只勾了专用，换个网络又被拦 |
"允许应用通过防火墙"
让用户怎么做：
- "按 Win + R，输入
control firewall.cpl，回车。"（或：控制面板 → Windows Defender 防火墙） - "点左边的'允许应用或功能通过 Windows Defender 防火墙'。"
- "在列表里找我们的程序名，看后面'专用'和'公用'两个勾是不是都勾了。截图给我。"
- "没勾的话点右上角'更改设置'，然后勾上两个，确定。列表里没有我们的程序的话点'允许其他应用'，浏览找到程序的 exe 添加。"
判断是不是防火墙拦的
- 资源监视器 → 网络 → 侦听端口 → 我们的进程那一行"防火墙状态"列，见 资源监视器与事件查看器。
- 临时验证法：记下当前状态，控制面板 → 防火墙 → 启用或关闭 → 两个配置文件都选"关闭" → 试一次 → 立刻开回来。问题消失 = 防火墙规则问题，去加允许；问题依旧 = 不是防火墙，方向换掉。
注意
防火墙服务（mpssvc）被"优化软件"禁用时，情况会反过来：不是"什么都放行"，而是很多程序反而联不上网，因为网络栈依赖它。看到 services.msc 里 Windows Defender Firewall 服务是禁用状态，让用户改回自动并启动，见 服务、启动项与后台进程。
SmartScreen
SmartScreen 是 Windows 对"从网上下载的、没有足够信誉的程序"的拦截。表现为运行安装包时弹出蓝色全屏提示："Windows 已保护你的电脑 — Microsoft Defender SmartScreen 已阻止启动一个未识别的应用。运行此应用可能会使你的电脑存在风险。"
| 情况 | 说明 |
|---|---|
| 弹窗里显示的应用名是我们的安装包，发布者是我们 | 新版本刚发布、信誉还没积累，SmartScreen 会拦一阵子。点"更多信息" → "仍要运行" |
| 弹窗显示"发布者：未知发布者" | 安装包没有签名或签名损坏。我们的官方包应该有签名；显示未知 → 用户下的可能不是官方包，或下载过程中损坏。先确认下载来源再决定要不要运行 |
| 弹窗只有"不运行"按钮，没有"更多信息" | 组策略把 SmartScreen 设成了严格模式（公司电脑常见），或文件信誉极差 |
让用户怎么绕过（仅限确认是官方包时）："点弹窗上的'更多信息'那几个字，会多出一个'仍要运行'按钮，点它。"
也可以：右键安装包 → 属性 → 常规 → 底部勾"解除锁定" → 确定，再运行。这一步是去掉文件的"来自互联网"标记。
待技术确认
我们安装包的数字签名显示的发布者名称是什么，以技术同事发布的为准。客服据此判断用户看到的"发布者"对不对。
第三方杀软与管家类软件
国内用户电脑上最常见的：360 安全卫士 / 360 杀毒、火绒、腾讯电脑管家、金山毒霸、2345 系列；国际的：卡巴斯基、McAfee（笔记本预装）、Norton（预装）、Avast / AVG、Bitdefender、ESET。
"管家类"软件（360 安全卫士、电脑管家、金山毒霸）除了杀毒，还带大量额外功能：开机加速、清理垃圾、弹窗拦截、网络防护、软件管家、驱动管理。这些功能每一个都可能干扰我们。
它们会做的事
| 行为 | 机制 | 对我们的表现 | 用户看到什么 |
|---|---|---|---|
| 拦截安装 | 安装包运行时弹"发现可疑程序"或直接静默阻止 | 双击安装包没反应；安装到一半退出；安装完少文件 | 可能有弹窗一闪；可能什么都没有 |
| 静默隔离 / 删除文件 | 实时监控判定某个文件为"木马 / 风险程序"直接移走 | 程序启动报"找不到 xxx.dll"（dll 不是运行库的）；校验失败、修复后又缺；桌面图标变白 | 大多没有提示，要去隔离区 / 日志里找 |
| 阻止驱动加载 | 内核级防护拒绝未知驱动 | 反作弊报"驱动加载失败""初始化失败" | 可能弹"某程序试图加载驱动，已阻止" |
| 结束进程 | 判定进程有危险行为直接杀掉 | 程序运行几秒到几分钟后凭空消失，事件查看器里没有 Application Error | 一般没有提示 |
| 注入导致崩溃 | 杀软把自己的 dll 注入到每个进程里做监控，dll 和游戏不兼容 | 闪退，事件 1000 错误模块是杀软的 dll；0xc0000142 | 只有崩溃 |
| "开机加速"禁用服务和启动项 | 用户点了一键优化，把它认为"不必要"的服务和启动项禁了 | 我们的服务不启动；系统服务被禁导致各种功能失效 | 用户不记得做过 |
| 网络防护改 DNS / 代理 | "DNS 优选""上网防护""网络加速"改了系统 DNS 或加了本地代理 | 登录失败、下载慢、连到错误节点 | 用户不知道 |
| 联网管控 | 阻止"未知程序"联网 | 客户端连不上服务器，但浏览器正常 | 可能有弹窗 |
| 弹窗拦截 / 广告拦截 | 拦掉了程序的正常窗口 | 登录框、二维码窗口出不来 | 无 |
| 文件粉碎 / 清理垃圾 | "清理"时把程序缓存、配置、甚至游戏文件当垃圾删了 | 设置丢失、需重新登录、文件缺失 | 用户觉得"清理了 3 GB 垃圾，很爽" |
| 软件管家自动更新 | 替用户更新了显卡驱动 / 运行库到错误版本 | 驱动问题，见 设备管理器与驱动 | 无 |
多个杀软共存的危害
两个杀软同时开着（比如 360 + 火绒，或者第三方 + 没有被正确关闭的 Defender）：
- 互相把对方当威胁扫描，CPU 和磁盘常年高占用。
- 一个程序被两个内核驱动同时监控，崩溃概率成倍上升。
- 一个拦了另一个没拦，排查时你以为排除了 A，其实是 B 干的。
- 极端情况下蓝屏。
看到托盘里有两个以上盾牌图标，先建议用户只留一个。这不是"关闭安全软件"，是减少到一个。
通用方法：查隔离记录 / 拦截日志
每个杀软界面不同，但都有这三样东西，名字略有差异：
| 功能 | 360 安全卫士 / 杀毒 | 火绒 | 腾讯电脑管家 | 金山毒霸 | 卡巴斯基 | McAfee |
|---|---|---|---|---|---|---|
| 隔离区 | 木马查杀 → 恢复区 / 隔离沙箱 | 安全日志 → 隔离区 | 病毒查杀 → 隔离区 | 病毒查杀 → 隔离区 | 更多工具 → 隔离 | 隔离的项目 |
| 拦截日志 | 安全防护中心 → 查看防护日志 | 安全日志 | 防护日志 | 安全日志 | 报告 | 安全历史记录 |
| 白名单 / 信任区 | 木马查杀 → 信任区 / 设置 → 白名单 | 信任区 | 病毒查杀 → 信任区 | 信任区 | 排除项 / 受信任应用 | 排除的文件 / 实时扫描排除 |
让用户怎么做（通用话术）："打开你的杀毒软件，找'隔离区'（或'恢复区''安全日志'）。看最近几天有没有和我们的程序相关的记录（路径里带我们的安装目录），有的话截图给我，然后选中它点'恢复'（或'还原'）。恢复后再找'信任区'（或'白名单''排除项'），把我们的安装目录添加进去。"
加白名单的注意事项：
- 加文件夹比加单个文件稳，因为更新后文件会变。
- 有的杀软要求分别加"文件白名单"和"进程 / 行为白名单"（比如火绒的信任区和防护规则）。
- 加了白名单之后之前被隔离的文件不会自动回来，要先恢复。
- 加完后让用户校验 / 修复一次程序，把缺的文件补回来。
注意
排除法里"临时退出杀软试一次"是合理的验证手段，但有三个要求：一、先记录当前状态（哪些开着）；二、用杀软自己的"退出"功能，不要去结束进程或禁用服务；三、验证完必须让用户开回来，并且在聊天里明确确认"已经开回来了"。用户的电脑安全不是我们能替他承担的，退出杀软是为了验证不是为了解决。
网吧管理软件
网吧的机器上跑着另一类东西：网吧管理 / 计费 / 还原 / 无盘系统。常见的：万象、Pubwin、网维大师、云更新、易乐游、顺网、迅闪、信佑。它们比杀软的干扰更强，而且用户完全无法控制。
| 特点 | 说明 | 对我们的影响 |
|---|---|---|
| 进程保护 | 管理软件保护自己的进程和目录，同时可以按黑白名单允许 / 禁止其他程序运行 | 我们的程序如果不在网吧的白名单里，直接不让运行、没有任何提示 |
| 禁止运行未知程序 | 只允许网吧预装的游戏和软件 | 用户自己下的客户端打不开 |
| 还原 | 每次重启（或每次下机）系统盘恢复到初始状态 | 用户装的东西、装的运行库、WebView2、改的设置，重启全没了 |
| 无盘 | 电脑没有本地硬盘，系统和游戏从服务器加载 | 游戏文件在服务器上，下载 / 写入速度受服务器和网吧内网限制；"本地磁盘"实际上是网络盘 |
| 游戏更新由网吧统一做 | 网吧用自己的更新系统给所有机器更新游戏 | 用户不能自己更新；版本可能落后；文件可能被网吧更新系统覆盖 |
| 管理员权限受限 | 用户是受限账户或被策略限制 | 装驱动、装运行库、改防火墙都做不了 |
| 网络策略 | 网吧有自己的路由、DNS、有时有透明代理 | DNS 解析异常、某些端口被封 |
| 注入 | 管理软件也往进程里注入 dll（计费、防护） | 崩溃时错误模块可能是网吧软件的 dll |
所以在网吧机器上，客服的角色不同：大部分问题需要网吧网管处理，客服的工作是判断出"这是网吧环境导致的"并告诉用户"请让网管做 xxx"。详见 网吧机器的特点 和 网吧问题。
注意
接到问题时第一批就要问"是家里的电脑还是网吧的"。网吧机器上不要走"干净启动""重装运行库""加杀软白名单"这些流程——做了也会被还原，还可能触发管理软件报警让用户被网管赶出去。
"程序凭空消失、无报错"的头号嫌疑
用户描述"打开了，用了一会儿，突然没了""双击后闪一下就没了""刚刚还在，回来就关了"，且没有任何报错窗口。这有两大类原因：
| 类型 | 说明 | 证据在哪 |
|---|---|---|
| 自己崩了 | 程序内部错误，Windows 通常会记一条 Application Error 1000（有时有报错框，有时没有） | 事件查看器 → 应用程序 → 崩溃时刻有 1000 / 1002 |
| 被外力结束 | 杀软 / 管家 / 网吧软件 / 用户自己（任务管理器结束、快捷键） / 另一个程序（某些"游戏加速器"的"一键关闭无用进程"） | 事件查看器 → 应用程序 → 崩溃时刻没有任何和它相关的记录；杀软的拦截日志里有 |
区分"被拦截"和"自身崩溃"
一张对照表：
| 证据 | 被拦截 | 自身崩溃 |
|---|---|---|
| 事件查看器应用程序日志 | 崩溃时刻没有 1000 / 1002 | 有 1000 / 1002 |
| 杀软隔离区 / 拦截日志 | 有我们文件的记录 | 没有 |
| Defender 保护历史 | 有"已隔离""已阻止" | 没有 |
| 文件是否还在 | 安装目录里少了文件，或 exe 变成 0 字节 | 文件都在 |
| 桌面图标 | 可能变成白色空图标（目标文件没了） | 正常 |
| 复现规律 | 每次都在同一阶段消失（启动后 3 秒、加载到某一步），或安装后第一次运行就没了 | 可能随机，可能和特定操作有关 |
| 退出杀软后 | 正常了 | 依旧 |
| 校验 / 修复后 | 补回文件 → 运行 → 又没了（被再次隔离） | 校验通过，但仍崩 |
| 有报错框吗 | 几乎没有 | 有时有（"已停止工作"） |
注意
"杀软没有拦截记录"不等于"不是杀软干的"。有些杀软的某些功能（比如管家类的"进程管控""游戏模式的一键清理"）不写日志。事件查看器里没有 Application Error 这一点比杀软日志更可信。两条证据一起看。
白名单概念
白名单 = 告诉安全软件"这个程序 / 目录 / 进程是可信的，不要扫、不要拦、不要注入"。对我们来说，理想状态是用户的每一个安全软件里都把我们的安装目录加了白名单。
要加的对象（视杀软支持的类型）：
- 客户端安装目录（整个文件夹）。
- 游戏文件目录（如果和客户端不在一起）。
- 反作弊组件的目录和驱动文件。
- 客户端和游戏的主进程（有些杀软有"进程信任"，和"文件信任"分开）。
待技术确认
需要加白的确切目录列表、进程名、驱动文件名，以及我们是否已经向主流杀软厂商申请了白名单认证（通过认证后用户不需要手动加），以技术同事发布的为准。
红线
注意
让用户"临时退出杀软 / 关闭防火墙验证"之后，必须让他开回来，并且要在聊天里得到确认。这条没有例外。验证完忘了提醒用户开回来，用户中毒了，责任在我们。
禁止
不要让用户永久关闭 Windows Defender、Windows 防火墙或任何安全软件的实时保护来"解决问题"。不要让用户卸载 Defender（也卸不掉，网上那些"彻底卸载 Defender"的工具会破坏系统）。不要让用户关闭 UAC、关闭 SmartScreen、关闭内核隔离 / 内存完整性来"兼容"什么。正确做法永远是加白名单（精确到我们的目录和进程），而不是把整个防线拆掉。如果加了白名单还是被拦，记录后升级，由技术同事联系杀软厂商。
禁止
不要让用户用"结束进程""禁用服务""删除杀软文件夹"的方式关掉杀软。杀软有自保护，这些操作会失败、会触发自保护误判、会把系统弄进半残状态（杀软驱动在但主程序没了，重启后可能进不了系统）。退出杀软只用它自己的"退出"菜单。
常见误区
- "杀软没弹窗，所以不是杀软。" 大多数拦截是静默的。去隔离区和日志里看。
- "关了杀软再试试"就完了。 要先记录状态，验证后开回来。
- "用户说没装杀软。" Defender 每台 Win10/11 都有；笔记本预装的 McAfee / Norton 用户常不知道。让他截托盘和"安装的应用"。
- "加了白名单就好了。" 之前被隔离的文件要先恢复，然后校验补齐。
- "网吧机器也按家用机流程走。" 网吧是另一套逻辑，大部分要网管做。
- "被拦截就说是杀软误报。" 先确认用户下的是官方包（看签名）。如果发布者是"未知"，先别急着让用户放行。
- "两个杀软更安全。" 更危险，更慢，更容易崩。
- "永久关闭 Defender 就没事了。" 红线。
对排查意味着什么
| 症状 | 安全软件角度先看什么 | 排查页 |
|---|---|---|
| 程序凭空消失、无报错 | 事件查看器有无 1000；所有杀软的隔离区和日志；是否网吧 | 崩溃 / 闪退、无法启动 |
| 安装失败 / 安装后少文件 | 隔离区；SmartScreen；UAC 是否点了否 | 无法启动 |
| 校验反复失败、修复后又缺 | 隔离区；实时保护是否扫游戏目录；加白名单 | 下载慢 / 失败、游戏文件与下载 |
| 反作弊驱动加载失败 | 杀软的驱动拦截记录；管家类的"内核防护"；其他反作弊共存 | 反作弊（R0Guard）、反作弊通用知识 |
| 闪退，错误模块是杀软 dll | 注入冲突，加白名单 / 退出验证 | 崩溃 / 闪退、常见软件冲突 |
| 客户端连不上，浏览器正常 | 防火墙规则；管家类联网管控；DNS 被改；代理被加 | 登录 / 连接失败、代理、VPN 与加速器 |
| 下载 / 加载慢，资源监视器里杀软在读游戏目录 | 实时保护扫描，加排除 | 启动慢、下载慢 / 失败 |
| 我们的服务 / 系统服务被禁 | 管家类"开机加速"记录 | 服务、启动项与后台进程 |
| 网吧机器什么都不对 | 网吧管理软件 | 网吧问题 |
自检问题
- 为什么反作弊和客户端特别容易被安全软件误拦？用大白话解释。
- 第三方管家类软件对我们的程序可能做哪几类事？每类的典型表现是什么？
- 程序凭空消失且没有报错，怎么用事件查看器和杀软日志区分"自己崩了"和"被结束了"？
- 让用户查杀软隔离记录并加白名单，写出通用话术。加完白名单之后还要做什么？
- "临时退出杀软验证"有哪三个要求？
- 网吧机器和家用机在安全软件排查上有什么根本不同？为什么不要在网吧机器上做干净启动？
- 哪些和安全软件相关的操作是绝对禁止的？正确的替代做法是什么？