Win 7 引入「來自其他電腦的檔案安全性標記」（Zone Identifier / Alternate Data Stream），從網路下載、網路磁碟機複製、郵件附件的執行檔會被標記，雙擊執行時若未解除鎖定，滑鼠指標轉圈後無反應。右鍵內容 → 「一般」索引標籤底部 → 「解除鎖定」→ 確定，即可正常執行。
現象重現
- 從網站下載
setup.exe、從 NAS 複製安裝程式、Outlook 開啟附件存檔後執行。
- 雙擊 → 滑鼠忙碌幾秒 → 無任何視窗、錯誤訊息、進程啟動。
- 右鍵屬性 → 「一般」底部顯示「安全性：這個檔案來自另一台電腦，為了保護您的電腦，可能會被阻止存取」與「解除鎖定」按鈕。
解除鎖定方法
- 單檔：右鍵 → 內容 → 「解除鎖定」→ 確定。
- 批次：PowerShell
Unblock-File -Path "C:\Downloads\*" 遞迴解除資料夾下所有檔案鎖定。
- 群組原則關閉：
gpedit.msc → 使用者設定 → 系統管理範本 → Windows 元件 → 附件管理器 → 「不保留區域資訊」→ 啟用（不建議，降低安全性）。
技術原理
- NTFS 替代資料流 (ADS) 儲存
Zone.Identifier：[ZoneTransfer] ZoneId=3 (網路區域)。
- Windows Explorer / ShellExecute 檢測到 ADS → 觸發安全性提示/阻止。
- 適用於 .exe、.msi、.bat、.ps1、.vbs、.jar、.reg 等可執行/腳本類型。
為何會誤判正規軟體？
- 企業內部檔案伺服器若未加入「區域對應」信任清單，複製出的檔案同樣被標記網路區域。
- 某些壓縮軟體（舊版 WinRAR/7-Zip）解壓時保留 ADS，導致解壓出的檔案同樣被鎖定。
最佳實務
- 下載/複製執行檔後，習慣性右鍵 → 內容 → 解除鎖定（僅需一次）。
- 開發者簽署程式碼（代碼簽署憑證），簽署後的檔案即使有 Zone Identifier，UAC 提示會顯示「已驗證發行者」，使用者信任度高。
- 企業環境透過群組原則將檔案伺服器加入「本地內部網路」區域，或部署「附件管理器」原則自動解除信任區域檔案鎖定。
「解除鎖定」按鈕雖小，卻是 Win 7 安全性與易用性平衡的關鍵設計，認識它能避免無數「軟體安裝無反應」的誤診與重灌。
