在 Windows 上轻量地隔离 app：以百度云管家为例

[geelaw]

最近 有网友发现 自己的 Windows 锁屏壁纸被修改成了百度云管家的广告。（一开始大家觉得是百度云管家乱搞，后来发现可能是联想的 OEM 软件乱搞。）无论怎样，这说明一些软件用正常方式运行总让人不够放心，采取措施隔离一些 app 很有必要。一些网友 提出可以给 app 准备一个专门的虚拟机，不过这有点大炮打蚊子了，其实可以用 Windows 的多用户和“以其他用户身份运行”解决。这个方法适用于很多 Windows 桌面 app。

这个技巧有诸多好处：

• 防止被隔离的 app 随意读写日常账户的内容——它只能读写公共可读写的位置和隔离账户的资料库。
• 防止被隔离的 app 随意修改日常账户的设置——它只能修改隔离账户的设置。
• 允许被隔离 app 使用剪贴板等会话级别对象。
• 不需要切换用户、开关虚拟机，隔离成本低。

选百度云管家为例子主要有四个原因：一是它正好是我看到的微博的舆论焦点；二是我自己也不信任它，日常就是隔离使用的；三是它可以隔离使用；四是它需要一点点小技巧。

具体方法见 原文；锁屏被修改效果见 此图

[snowonion]

@liyang5945 #9 shift + 滚轮，可左右滚

[wjswxp]

这个方法用于 wechat 也可以，但是 QQ 就不太行了，有人知道如何用类似的方案运行 QQ 吗？

[goodbacon]

这个方法最近好像不行了，云管家直接闪退，不知为何……

[723X]

@geelaw

你这个方法会不会太繁琐了点，运行一个程序至少要折腾 6 步，目的只是为了以另一个账户运行程序，不专门用批处理等方案解决感觉成本太高

因为 sandboxie 权限控制稳定性欠佳，windows sandbox 关机不能保存用户数据，我现在还是开机带起一个 hyper-v 虚拟机然后用 remote app 快捷方式穿透启动，也不用来回切换，我认为这可能是目前最优的解决方案了

抛砖引玉，以前用渣雷的时候尝试过用自带的文件权限控制限制程序更新（禁止 authenticated users 写入程序安装目录），效果很好，不知道同样方法能否也能起到隔离 app 的作用

[geelaw]

@723X #24 你可以意识到 remote app 的快捷方式就是启动脚本吧

[723X]

@geelaw #25 对，但是这个是现成的，拿来即用