受控文件夹访问：有效，但要付维护成本

核验于 2026-10-292 分钟阅读

它保护什么、为什么正常软件会被拦，以及怎么让它保持有用而不是直接关掉。

测试环境Pro (26H2) / Server · 版本号 26300.9457 / 26100.33650 · x64

版本号: 26300.9457 / 26100.33650
版本: Pro (26H2) / Server
架构: x64
支持: 文档（E1）
证据: E1官方文档
核验日期: 2026-10-29
页面类型: 任务

一句话结论

受控文件夹访问（CFA）只允许受信任的应用写入一组受保护文件夹——默认是文档、图片、视频、音乐、桌面与收藏夹。

它阻止未授权进程修改这些文件夹，而这正是勒索软件的第一步。
它不判断进程是否恶意：正常备份工具、同步客户端、游戏启动器也可能被拦。

代价是真的，收益也是真的。要同时看清再决定。

查看状态

Get-MpPreference | Select-Object EnableControlledFolderAccess,ControlledFolderAccessProtectedFolders,ControlledFolderAccessAllowedApplications

值	含义
`0`	关闭
`1`	阻止模式
`2`	审计模式（只记录）

先跑一周审计模式：能看到本来会被拦的东西，而什么都不坏。

正确地开启

Windows 安全中心 → 病毒和威胁防护 → 管理勒索软件防护 → 受控文件夹访问。
启用。
弄坏一个东西，记下那个应用。
通过受控文件夹访问允许应用 → 加入该可执行文件。
反复直到安静。

Add-MpPreference -ControlledFolderAccessAllowedApplications 'C:\Program Files\Vendor\app.exe'
Add-MpPreference -ControlledFolderAccessProtectedFolders 'D:\Projects'

最常被拦的

应用类型	为什么会中招
备份工具	设计上就要写文档目录
同步客户端（非 OneDrive）	同上
存档在文档里的游戏	非常常见
照片/视频编辑	写图片/视频目录
从任务计划运行脚本	父进程不被信任
命令行工具	`cmd.exe`/`powershell.exe` 写文件

对脚本，只有在接受风险时才允许宿主程序（powershell.exe）——那是一个很宽的允许。

它止步于哪里

只保护本地磁盘上的文件夹，不保护网络共享。
阻止不了已被授予访问权的进程。
不加密任何东西，也不替代备份。
默认不覆盖可移动磁盘。

诚实的说法：CFA 让勒索软件的第一分钟变得吵闹，但它挡不住一个有管理员权限、有时间的攻击者。

搭配一个真的能救你的东西

层次	作用
CFA	减缓未授权写入
离线/多版本备份	唯一真正的恢复手段
OneDrive 版本历史	同步文件的恢复（账户未被攻陷时）
标准用户账户	阻止静默安装驱动/服务

见能扛住勒索软件的备份。

实验室边界

E1。CFA 行为有微软文档依据。实验室虚拟机运行 Defender 默认配置，因此未产生拦截事件。