深度掌控 Windows 文件保護 (WFP) 與系統文件檢查器 (SFC) 完全指南

從 Windows 2000 起，微軟引入 Windows 文件保護 (WFP)，後台自動防範關鍵系統文件被非簽名版本覆蓋。但默認策略未必適合所有場景。通過 系統文件檢查器 (SFC, sfc.exe) 與組策略/註冊表，我們能精細控制掃描頻率、緩存大小、備份位置、安裝源路徑，甚至實現多機共享 DllCache 節省空間。

WFP 核心機制

• 保護對象：.sys .dll .ocx .ttf .fon .exe 等關鍵類型。
• 觸發條件：文件被替換/移動時，驗證 Microsoft 數字簽名。
• 修復來源優先級：DllCache 文件夾 → Windows 安裝源 → 提示插入光盤。

SFC 關鍵參數與實戰場景

實例一：每次啟動掃描（公用電腦推薦）

組策略： gpedit.msc → 計算機配置 → 管理模板 → 系統 → Windows 文件保護 → 「設置 Windows 文件保護掃描」→ 已啟用，掃描頻率選「啟動期間掃描」。
註冊表： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCDisable 改為 1（默認 0 不掃描）。
代價： 開機時間適度增加。

實例二：限制 DllCache 緩存大小（節省空間）

默認 400MB (XP SP2 實際佔用 364.5MB, 2169 文件)。
組策略： 同路徑 → 「限制 Windows 文件保護緩存大小」，最小 50MB，不限制填 4294967295。
註冊表： 同鍵下 SFCQuota，默認 0xFFFFFFFF。

實例三：清空 DllCache 緊急騰空間

運行：SFC /purgecache（注意 / 前有空格）。
風險： 後續文件損壞需插入安裝光盤修復。

實例四：計劃任務定時掃描（平衡性能與安全）

1. 組策略禁用「啟動掃描」。
2. 控制面板 → 任務計劃 → 添加 sfc.exe，設置周期/時間/賬戶。
3. 任務屬性 → 「運行」欄追加 /scannow 參數。

實例五：DllCache 遷移至大分區/網絡共享（多機共享）

註冊表： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinLogon\SFCDllCacheDir 指向新路徑（如 D:\DllCache 或 \\Server\Share\DllCache），將原目錄文件移過去。
注意： 僅適用 Windows 2000，XP 不支持。企業環境可按語言版本建立子目錄（\\Server\Share\CHS\DllCache）。

實例六：安裝源文件入駐硬盤（免插光盤）

1. 非系統盤建立目錄（如 D:\WinIns），複製 Windows 安裝光盤全部內容。
2. 安裝 TweakUI → 控制面板 → 用戶界面自定義 → 「我的電腦」標籤 → 「特殊文件夾」選「安裝路徑」→ 「改變位置」指向 D:\WinIns。

延伸： Office 安裝文件同理可放硬盤，添加/移除組件免插盤。

實例七：安裝源網絡共享（局域網統一維護）

註冊表： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup\SourcePath 改為 \\Server\Share\CHS\WinXP，將光盤內容拷貝至該共享。全網電腦安裝組件/修復系統均從此源讀取，節省本地空間。

總結

WFP/SFC 並非黑盒。靈活配置掃描策略、緩存配額、備份位置、安裝源，能兼顧系統穩定、磁盤空間、維護效率，是系統管理員進階必修課。