测试捆绑软件时 Sandboxie 的完整配置

下面是一套用于测试捆绑安装包的保守配置思路：限制它访问真实文件、网络和敏感系统位置，并在测试后直接销毁沙箱。Sandboxie Plus 的版本和界面名称可能不同，建议优先在界面中设置；.ini 配置项也可能因版本而异。

建议配置

新建一个专用沙箱，例如 BundleTest，不要用日常浏览网页或保存个人文件的沙箱。

在沙箱设置中：

• 隔离级别：选择较严格的默认隔离模式；启用 Drop Admin Rights（丢弃管理员权限）。
• 文件恢复：关闭自动恢复（Auto Recover）；不要把真实的“下载”“桌面”或文档目录加入可写/恢复位置。
• 网络：若不需要联网，设为禁止网络访问。若必须测试联网行为，优先用虚拟机快照和受控网络；至少不要允许访问局域网。
• 文件访问：不要开放真实的个人目录作为可写路径；避免对整个磁盘设置 OpenFilePath 或类似宽泛例外。
• 注册表与系统对象：保持默认隔离，不添加放宽访问的例外。
• 结束后清理：测试完成后关闭沙箱内所有程序，选择删除沙箱内容，不要恢复可疑文件。

测试流程

1. 先更新 Sandboxie，并确认沙箱内没有真实账号、令牌或敏感文件。
2. 把待测安装包复制到专用沙箱的临时目录中，再从沙箱内启动。
3. 安装程序要求提升权限时，不要因此给它真实管理员权限；确需观察提权行为时，优先在可回滚的虚拟机中测试。
4. 需要联网时单独开一个测试环境，并观察其进程、文件和网络行为。
5. 记录结果后销毁沙箱内容；不要把沙箱中的未知文件直接恢复到宿主机。

关于 .ini

不建议直接套用网上的“完整配置文件”：Sandboxie 的配置语法会随版本变化，错误或过宽的路径例外可能削弱隔离。可在 Sandboxie Plus 的沙箱属性中设置上述选项，再通过配置编辑器检查该版本实际生成的配置。特别避免为了让安装程序“正常工作”而随意添加全盘可写、真实用户目录可写或广泛网络访问规则。

注意：Sandboxie 是应用隔离工具，不等同于虚拟机。 对来源不明、疑似恶意或需要观察驱动、提权行为的软件，使用带快照的虚拟机更合适，并保持宿主机和共享目录隔离。