WFP 運作核心邏輯

• 保護範圍：%windir% 下 .sys/.exe/.dll/.ocx/.fon/.ttf 等關鍵類型（由登錄表決定）。
• 替換檢查：數位簽名驗證（微軟簽名 + 正確版本），通過才允許替換（Service Pack、熱修補、Windows Update、裝置管理員驅動更新）。
• 失敗回滾：非授權替換會被 WFP 從 DLLCache 或安裝光碟還原正確版本，並在事件日誌記錄。
• 防刪除：重命名/刪除受保護檔案同樣觸發還原（實測 calc.exe 改名幾分鐘後自動回復）。
• 與 Windows Installer 深度整合：安裝程式嘗試替換受保護檔案時移交 WFP 裁決。

SFC (System File Checker) 手動控制指令

參數	行為	典型場景
/SCANNOW	立即掃描所有受保護檔案，錯誤版本即時替換（需安裝媒體/補丁源）	懷疑系統檔案損毀時首選
/SCANONCE	下次重啟掃描一次	排程維護窗口
/SCANBOOT	每次啟動皆掃描（延長開機時間）	高安全環境、持續驗證
/REVERT	關閉掃描排程，恢復預設	取消 /SCANBOOT 後
/PURGECACHE	清空 DLLCache 並重建（需安裝媒體）	緩存損毀、釋放空間
/CACHESIZE=x	設定緩存大小（MB），需重啟後執行 /PURGECACHE 生效	調整預留空間，預設值文檔不一（50~300MB/無限）

登錄表精細調控（HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinLogon）

• SFCDisabled (DWORD)： 0=啟用(預設) 1=關閉並提示重啟啟用 2=下次啟動關閉 3=啟用但不彈窗 4=保留。
• SFCScan (DWORD)： 0=不掃描(=REVERT) 1=每次啟動掃描(=SCANBOOT) 2=下次啟動掃描一次(=SCANONCE)。
• SFCQuota (DWORD)： 緩存大小，預設 0xFFFFFFFF (=300MB)，改為 0xFFFFFFFF 可緩存所有受保護檔案。
• SFCDllCacheDir (字串)： 重新導向 DLLCache 路徑（必須為本地絕對路徑，XP 不支援網路路徑）。
• SFCShowProgress (DWORD)： 0=隱藏進度 1=顯示進度。

指定安裝源路徑（免插光碟）

鍵值：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup\SourcePath，設為包含 I386 目錄的父路徑（如 C:\ 對應 C:\I386，或 UNC 路徑 \\Server\Share 含 I386）。

操作風險提示

修改登錄表前務必完整備份（regedit → 檔案 → 匯出）。錯誤修改可能導致系統無法啟動，建議在測試機驗證後再部署生產環境。