很多技术群每隔几天就会有人问一次“怎么把 Windows Defender 关掉”问法也五花八门编译出来的工具被误删、游戏反作弊被拦、Windows 更新后 Defender 突然高占用甚至升级完杀软直接报0x8007045b。这次讨论的“新版本禁用 Windows Defender 工具新特性修复 BUG”拆开来看其实涉及三件事新版 Windows Defender 的状态变化、第三方配置工具的更新逻辑、以及 Defender 在更新后出现的常见错误码如何排查。先说结论对大多数人来说“关掉 Windows Defender”不是刚需真正刚需的是临时停用实时监控、添加文件白名单、让某个开发工具不被拦以及遇到 Defender 报错时知道怎么恢复。第三方开关类工具可以帮你省点事但它的更新日志里写着“新增特性、修复 BUG”时你最好先搞清楚它修复的到底是什么问题否则工具本身就可能成为下一个安全入口。这篇文章不打算神话某一款工具也不打算无脑推荐某个软件。我会从系统管理员视角出发把 Windows Defender 的禁用与配置场景、官方支持的操作路径、第三方工具的评估标准、0x8007045b错误码和“安全中心状态为 ON 时事件 16”的排查思路一起梳理清楚。全程只使用 Windows 自带的命令、组策略和注册表方式最后再给你一套可落地的测试与恢复流程。1. 核心能力速览先把这篇文章覆盖的能力和边界列清楚能力项说明适用对象Windows 10 / Windows 11 专业版、企业版、教育版家庭版部分功能受限核心问题Windows Defender 实时保护误拦、资源占用、更新异常、状态切换失败官方支持的临时关闭安全中心“实时保护”开关、PowerShellSet-MpPreference、组策略官方支持的白名单Add-MpPreference -ExclusionPath排除文件、文件夹、进程不建议的操作永久关闭 Defender 后不安装第三方防护并继续裸奔联网使用常见错误码0x8007045b多与 Windows 更新组件或安全服务状态有关常见事件事件 16Windows 安全中心状态切换为SecurityProductStateOn第三方工具评估重点是否签名、是否开源、是否支持状态回读、是否提供可见恢复按钮适用人群运维、开发、装机员、游戏玩家、需要跑本地逆向或内核设备的工程师不适用场景企业生产服务器、涉密终端、没有本地备份策略的办公电脑这里的每一条都不是为了让你“永久关掉安全防护”而是为了让你在明确知道风险的前提下可以快速定位问题、完成一次有边界的系统配置并在测试结束后把安全状态恢复原样。2. 为什么新版 Windows Defender 需要一份开关指南Windows Defender 的定位已经从最早的本地杀毒软件扩展成了依赖云端情报的终端防护体系。新版组件至少包含这几层能力实时文件监控、行为检测、受控文件夹访问、勒索软件保护、防篡改保护、云送检以及内核级驱动拦截。能力变强带来的副作用是它更容易误判也更难被普通用户“静默关闭”。实践中最常见的触发点有三个。第一开发工具链。编译出的未签名 exe、破解补丁、注册机、加壳后的安装程序经常被 Defender 的云检测在几秒内隔离。对普通用户来说这是保护对开发者来说这是打断工作流。第二游戏反作弊和驱动加载。部分游戏的反作弊驱动需要加载底层内核模块Defender 的驱动级监控会和它抢权限导致游戏启动失败或蓝屏。第三资源占用不稳定。新版 Defender 的实时扫描虽然平时不高但当你批量解压、连续编译、运行大型安装包时MsMpEng.exe的 CPU 和磁盘占用会明显抬头老机器会卡顿明显。这时候“一台测试机 一份受控的关闭流程 明确的恢复时间点”就是很合理的需求。问题在于很多人的操作路径是走第三方“一键禁用工具”而不是先看官方支持哪些配置项。第三方工具的更新日志固然诱人——某版本修复了开关被 Defender 反制、无法重启、静默失效等顽固问题但工具越刷版本你的安全状态越不可审计。3. 适用场景与使用边界先说适合用“禁用 Windows Defender”方案的情况装机测试为不具备生产数据的环境快速验证硬件、驱动或软件兼容性。开发环境需要频繁编译未签名文件且这些文件基本不会从外部传播。专项排查怀疑MsMpEng.exe导致系统卡顿需要 A/B 对照验证。恢复测试杀软本身损坏或无法更新需要临时关掉实时保护来修复组件。再说清楚“不要碰”的边界企业生产服务器上不要为了“减少干扰”而全局关闭 Defender。如果一定要关请走集中管理策略而不是在单机手动修改注册表。PC 上没有第二个防护产品时不建议把实时保护永久关闭。Windows 的“安全中心”会一直显示红色警告系统更新也可能因为安全状态异常而失败。涉及第三方杀软共存时不要同时运行两套实时防护。正确顺序是先将 Defender 的实时保护关闭再安装第三方产品。如果你处理的是他人提供的文件、U 盘启动盘制作、远程运维和敏感数据目录请保留 Defender 或至少开启云送检。否则一条误操作就可能演变成全盘加密勒索事件。还有一个很重要的边界就是“关闭 Defender”不等于“绕过安全策略”。微软提供组策略关闭入口不代表所有终端都能随意关闭。在受管组织中终端上的“编辑策略”操作本身会被审计手动更改可能直接导致终端失联或被锁定。因此在任何团队电脑上操作前先确认自己有没有本机管理员权限以及组织合规授权。4. 环境准备与前置检查在开始配置 Windows Defender 之前先把运行环境检查一遍。以下内容都是通用检查项适用于 Windows 10 21H2 之后的版本和 Windows 11 大部分版本。4.1 系统版本与权限尽量使用 Windows 10 专业版/企业版或 Windows 11 Pro/Enterprise 的干净环境。专业版自带组策略编辑器gpedit.msc对配置 Defender 的全局开关更直观家庭版没有组策略编辑器只能走 PowerShell 和注册表而且有些策略项会失效。所有操作都必须在管理员权限的 PowerShell 或命令提示符下执行。注意即使你是管理员账号UAC 也会拦一道。建议在开始菜单搜索 PowerShell右键“以管理员身份运行”确认标题栏出现“管理员”字样后再操作。4.2 查看 Defender 当前状态执行下面的命令确认实时保护、防篡改保护、平台版本等状态Get-MpComputerStatus | Format-List重点看RealTimeProtectionEnabled、AntivirusEnabled、TamperProtected这几个字段。TamperProtected为True时意味着系统会拒绝很多修改安全设置的请求这是新版 Windows Defender 防篡改机制在保护你不是故障。如果你发现某些设置改完重启又自动恢复大概率就是防篡改保护在起作用。4.3 明确策略层的优先级Windows Defender 配置存在多层来源安全中心开关本地 PowerShell 设置本地组策略注册表域组策略 / Intune / 第三方 EDR 管理策略如果上面任一层存在更高优先级的策略本机的命令修改可能瞬时生效也可能在一两次刷新后被还原。排查时必须逐层确认。一台加入了企业域或注册过 Intune 的电脑大概率已经被远端策略锁死不建议继续尝试。4.4 备份当前安全状态修改安全配置前建议导出一份当前配置快照。用命令查看并保存到文件Get-MpComputerStatus | Out-File -FilePath $env:USERPROFILE\Desktop\defender_status_before.txt Get-MpPreference | Out-File -FilePath $env:USERPROFILE\Desktop\defender_preference_before.txt这样无论改了什么都能在排查时回看初始状态。5. 官方支持的关闭与白名单配置下面介绍的是微软在文档中公开支持的配置路径。我们按“临时关闭实时保护 → 添加白名单 → 组策略层控制”的顺序操作。5.1 临时关闭实时保护这是影响范围最小、也最容易被系统自动还原的操作。Windows 10/11 的安全中心界面路径如下打开“Windows 安全中心”。进入“病毒和威胁防护”。点击“病毒和威胁防护设置 - 管理设置”。关闭“实时保护”。关闭后系统会弹出确认框并给出严重警告。注意这里的关闭状态不是永恒的Windows 可能会在系统重启后自动重新开启实时保护这是 Defender 防篡改机制的一部分不是 BUG。用 PowerShell 也能做同样的事Set-MpPreference -DisableRealtimeMonitoring $true执行后立即生效。要把实时保护重新打开Set-MpPreference -DisableRealtimeMonitoring $false5.2 添加排除项而不是关闭整体防护最高频的开发场景其实是“别的文件都要管只有这个目录别管”。添加排除项是最推荐的方案。# 排除单个文件夹 Add-MpPreference -ExclusionPath D:\DevTools # 排除文件夹后查看当前排除列表 Get-MpPreference | Select-Object -Property ExclusionPath # 移除不需要的排除项 Remove-MpPreference -ExclusionPath D:\DevTools注意Add-MpPreference是追加模式不会覆盖之前已经存在的排除项。如果命令写成了Set-MpPreference -ExclusionPath效果是覆盖整份排除列表容易误删原有排除规则。排除项通常会在 1 到 2 分钟内生效。判断成功的标准是小工具再次编译或复制时不会被实时扫描拦下。如果仍然被拦截检查防病毒软件客户端版本确认系统没有同时运行旧版 360、火绒等带文件监控的产品。5.3 使用组策略统一控制组策略适合在一台长期离线运行的测试机上使用。打开运行框输入gpedit.msc路径为计算机配置 - 管理模板 - Windows 组件 - Microsoft Defender 防病毒找到“关闭 Microsoft Defender 防病毒”选择“已启用”。随后进入“实时保护”子项把“关闭实时保护”设为“已启用”。组策略启用的影响范围比安全中心开关更大而且策略会留下明显的本地配置审计痕迹。恢复时要把这两处的状态都调整为“未配置”然后重启电脑再确认 Defender 状态。5.4 不要做的操作网上很多“永久禁用 Windows Defender”的脚本会直接改注册表DisableAntiSpyware或者通过计划任务删除 Defender 服务。这里明确说一下DisableAntiSpyware注册表项在现代 Windows 版本中已经不具备从前那样的效果而且会和防篡改保护冲突。删除服务的方式会破坏 Windows 更新、安全中心和系统镜像完整性后续如果要在系统里安装补丁或重装安全产品会遇到一堆不可名状的奇奇怪怪的问题。建议只使用第 5.1 到 5.3 节中的官方支持路径保证后面出了问题可以一键还原。6. 第三方“禁用 Defender 工具”怎么评估新特性与 BUG 修复这类第三方开关工具通常以图形界面形式封装了“关闭实时保护、禁用 Defender 服务”等操作。如果你选择的工具发布了新版本更新日志写着“新增特性和修复 BUG”不要急着双击升级先按下面的清单做一轮评估。6.1 是否新增了“状态回读”能力老一代工具最常见的 BUG 是只负责“关”不负责“看”。你点完关闭界面上一片绿色实际系统里实时保护已经自动恢复。新版工具如果新增了“状态回读”特性启动时会重新读取WinDefend服务、实时保护和平台状态用对勾、颜色或文字告诉你当前系统真实处于什么状态这个特性才有价值。验证方式很简单先手动打开 Defender 实时保护再打开第三方工具看它是否在 1 到 3 秒内识别出“已开启”而不是显示上一次的“已关闭”。6.2 是否修复了“开关后失效”或“重启还原”问题这是第三方 Defender 工具被骂得最多的缺陷。表面上关闭成功但 Windows 更新组件一刷新Defender 又自动回来。新版如果号称“修复了还原 BUG”你要确认它的实现方式是不是通过计划任务持续压制。如果只是部署了“每次开机自动执行一次关闭命令”那么工具关闭逻辑失效时系统一样会还原。更可靠的工具会调用系统的策略更新接口并在日志中留下重复执行记录。这点可以在工具的 README、更新日志和发布页面中确认不要只听一句“修复 BUG”。6.3 是否自带恢复入口评估标准很简单你能不能通过这款工具把 Defender 恢复成第一次部署前的原始状态恢复入口必须包含实时保护恢复、服务启动类型恢复、计划任务清理、排除项查看。如果一款工具没有提供可见的“恢复默认”按钮建议直接换一个。因为你自己记住所有的修改项几乎不可能出问题时只能重装系统。6.4 数字签名与文件来源第三方工具会被 Defender 误报这点不奇怪。但需要区分的场景是未签名工具被 Defender 隔离和签名工具运行后申请系统权限。前者是常见误报后者才是你真正要关注的运行时机。尽量选择 GitHub 上有源码、发布包带数字签名、更新通道清晰、Issue 区可查看反馈的工具。拒绝来历不明的压缩包和网盘链接。我这里不推荐任何具体工具名原因是这类工具更新频繁、还经常被安全产品互报很难在文章发布后长期保持同一结论。如果你是运维人员更推荐把第 5 节的官方命令封装成自己的 PowerShell 脚本库比依赖无数个第三方 GUI 更可控。7. 0x8007045b 错误码与 Defender 更新异常排查热搜词里的windows defender 0x8007045b在真实环境中经常出现触发场景不一定是手动关闭 Defender反而更多是 Defender 病毒库更新或 Windows Update 相关服务异常。常见表现是打开 Windows 安全中心时提示“病毒和威胁防护更新失败”。系统更新记录里显示 Defender 平台更新失败错误码0x8007045b。命令行手动更新病毒库也报同样的错误。0x8007045b的具体含义在微软错误码体系里通常指向系统服务状态异常或更新组件缓存损坏不代表病毒库本身已经损坏。先按下面的链路排查。7.1 检查安全相关服务状态Get-Service WinDefend, WdNisSvc, SecurityHealthService, wuauserv如果WinDefend启动类型不是“自动”或者状态不是“正在运行”先修复启动类型Set-Service -Name WinDefend -StartupType Automatic Start-Service -Name WinDefend部分系统上WinDefend服务受保护手动Start-Service会报“无法启动”。这种情况下不必强行绕过先检查底层驱动WdFilter.sys和WdNisDrv.sys是否被禁用sc.exe query wdFilter sc.exe query WdNisDrv如果这两个驱动被设置成了“禁用”就解释得通为什么 Defender 整体躺平。7.2 清理 Windows Update 缓存安全组件更新失败时操作执行以下命令停止更新服务、清理缓存、再重启服务net stop wuauserv net stop bits Remove-Item -Path $env:windir\SoftwareDistribution\Download\* -Recurse -Force -ErrorAction SilentlyContinue net start bits net start wuauserv这里只清理Download缓存目录不涉及SoftwareDistribution下的其他配置结构相对安全。清理完再回到安全中心手动点击“检查更新”。7.3 用 DISM 和 SFC 修复系统组件当服务状态正常、缓存也清理过但依然报0x8007045b可能存在系统组件损坏DISM.exe /Online /Cleanup-Image /RestoreHealth sfc /scannow两条命令耗时都不短DISM需要联网或使用本地镜像源sfc在全盘扫描时 CPU 占用会比较明显。跑完后重启再更新一次 Defender。7.4 事件 16 与 SecurityProductStateOn部分机器的事件查看器中会出现“Windows Defender 状态更新为 SecurityProductStateOn 时出错事件 ID 16”。这条信息和前面提到的 0x8007045b 不一定在同一故障链上。事件 ID 16 通常来自 Windows 安全中心的新状态通知机制。安全中心每次检测到默认反病毒产品的状态变化都会尝试把新的状态同步到系统 UI比如某个安全产品从“未启用”变为“已启用”。当安全中心 UI 或 WMI 数据提供方出现延迟时就会记录这样的错误但真实的反病毒状态往往已经发生变化。处理思路Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct用这条命令查看当前系统认为哪些安全产品处于启用状态。如果输出结果里存在多个AntiVirusProduct实例并且其中某一个状态值冲突就会造成安全中心界面反复提示。常见的处理方式是先彻底卸载不用的第三方安全产品再运行一次安全中心自带的疑难解答或者直接重启SecurityHealthService。8. 功能验证与恢复流程配置做完不能算完必须验证否则你根本不知道 Defender 是在“服从你”还是在“等待反扑”。8.1 验证实时保护确实关闭Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, AntivirusEnabled如果输出中RealTimeProtectionEnabled是False说明本次关闭成功。如果过了一段时间再查又变回True说明有策略或计划任务把它重新拉起来了。这时检查防篡改保护和组策略Get-MpComputerStatus | Select-Object TamperProtectedTamperProtected为True时系统会拒绝通过 PowerShell 修改实时保护。需要在 Windows 安全中心界面暂时关闭“防篡改保护”再执行之前关闭实时保护的命令。8.2 验证排除项生效判断排除项有没有生效不要在杀软设置界面看直接用实际的读取操作触发检测。例如对排除目录做一次批量解压或编译如果文件没有被隔离再从“保护历史记录”里确认没有新记录这就是基本生效。8.3 恢复流程恢复命令按逆序来Set-MpPreference -DisableRealtimeMonitoring $false Remove-MpPreference -ExclusionPath D:\DevTools Get-MpComputerStatus | Format-List如果改过组策略需要回到gpedit.msc把“关闭 Microsoft Defender 防病毒”和“关闭实时保护”改为“未配置”。最后重启 Windows再跑一次状态检查确认RealTimeProtectionEnabled和TamperProtected都为True。9. 资源占用与性能观察很多人关 Defender 的出发点不是安全问题而是它太占资源。在做决定前建议先建立一点“性能观察”的基本方法避免被“第三方安全软件更轻”的说法带偏。9.1 观察进程任务管理器里持续高 CPU 的 Defender 进程通常有两个MsMpEng.exe负责实时扫描MsMpEngCP.exe可能是平台组件或子进程。磁盘占用高、内存占用持续增长时先看这两个进程。也可以打开资源监视器把“相关进程”列为MsMpEng.exe观察是谁在触发它的读写。常见诱因是某个大目录被排除策略没设置好、某个计划任务频繁启动 Office/浏览器下载器、或某款软件在后台反复写临时 PE 文件。9.2 谁更适合关闭 Defender对开发者来说测试机使用排除项比全局关闭更划算。你只付出“让一个目录不被扫描”的代价换取其他目录仍然保持防护。对纯游戏玩家来说关闭实时保护可以在一定程度上降低启动反作弊时的进程冲突但联网状态下的风险也会同步上升。对运维来说最理想的状态不是关掉 Defender而是通过组策略统一配置排除项后把这台电脑标记为“低防护测试环境”。9.3 代价是什么关掉实时保护后从网络下载的恶意脚本、U 盘上的 autorun 类病毒、宏文档等都不会再被主动拦下。哪怕你只关 10 分钟也要确认这 10 分钟内没有打开未知来源的可执行文件。任何时候都不要在关闭防御的状态下双击来路不明的压缩包或安装程序这是铁律。10. 常见问题与排查方法问题现象可能原因排查方式解决方案关闭实时保护后重启又自动开启防篡改保护或组策略生效查看TamperProtected检查组策略先在安全中心关闭防篡改再用官方路径关闭或改回“未配置”Set-MpPreference报参数不被支持系统版本过旧或策略被域控接管查看Get-MpComputerStatus确认是否加入域在本地测试机上操作域内电脑找管理员处理Defender 病毒库更新报0x8007045b更新服务异常、缓存损坏或组件损坏检查 WinDefend、wuauserv、bits 服务清理 SoftwareDistribution 缓存并重启服务必要时跑 DISM 和 SFC事件 ID 16 反复出现安全中心状态同步异常或多个安全产品冲突用 WMI 查询AntiVirusProduct卸载多余安全产品重启 SecurityHealthService第三方工具运行后界面显示已关闭但系统实际未关闭工具没有状态回读系统已自动还原重新运行Get-MpComputerStatus对比换用可回读状态的工具或弃用 GUI改官方命令排除目录后文件仍被隔离排除项没在 2 分钟内刷新或受控文件夹保护仍拦截查看保护历史记录中的隔离来源检查是否是“受控文件夹访问”误拦添加排除或临时关闭该功能系统提示“此应用无法在你的电脑上运行”文件被云送检标记为高风险在安全中心“保护历史记录”中查看处置确认来源可信后再添加排除或恢复文件11. 最佳实践与安全使用建议到这里操作路径已经完整了但真正的工程问题不是“会不会操作”而是“下一次遇到同样问题你能不能减少试错成本”。我把长期维护建议总结成下面几条。第一把“临时关闭 白名单 恢复”分成三个独立脚本保存到一个私有仓库里。比如disable-realtime.ps1、add-exclusion.ps1、restore-defender.ps1每条脚本开头都要写明适用环境、执行权限和预期结果。不要把所有逻辑都写成一个巨大的“一键优化”脚本出了问题很难定位。第二在每次 Windows 大版本更新后再做一次状态巡检而不是永远相信第一次策略配置。Windows 版本更新后Defender 的默认策略可能会把之前改动过的注册表项拉回默认状态。巡检命令Get-MpComputerStatus | Format-List *Enabled, *Version Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess第三在涉及敏感数据、公司资产和人脸/声音等版权素材的电脑上不要以任何理由关闭安全防护。这类电脑一旦被入侵损失远超“杀软占一点 CPU”带来的不适。第四如果你真的需要长期“关掉 Defender 并保证它不回来”请使用正式的企业终端管理工具而不是手工改注册表。Microsoft Defender for Endpoint 或 Intune 的策略虽然也会出现误配但至少有审计、有回滚、有事件追踪。手工改注册表的方案不会给你留下任何审计日志。第五遇到0x8007045b或事件 16 这类错误时先记录现场再操作。保存系统事件日志快照、Defender 状态快照、安装的安全产品列表然后按第 7 节的排查顺序逐步处理。很多问题的根因只是第三方安全产品清理不干净导致安全中心状态同步错乱重装 Defender 前先彻底卸载旧产品往往更有效。最后再回到最初的问题第三方工具新增特性、修复 BUG 值不值得追。我的建议是先看它有没有解决你在真实环境中遇到的痛点再看它是否保留恢复入口最后检查它的下载来源和签名。如果这三条都没问题才值得在测试机上小范围试用并且试用后要立刻对比 Defender 的原始状态确认它没有偷偷改掉额外的内核设置。如果你只是一台普通办公电脑最稳妥的选择其实是“不追任何新工具”。把菜单里的“实时保护”临时关掉一次跑完手头任务再开回来比反复安装、卸载各种优化工具靠谱得多。