Windows 10 / Windows 11 管理员权限（用于 VHD 挂载） 初始化系统时，建议预留一个 D 盘 用于存放游戏内容的 VHD 虚拟磁盘映像或 EVHD 加密映像容器： 客户端启动后会自动扫描 D 盘根目录中的 .vhd / .evhd 文件并挂载到 M:\ 。 安装方式一：下载预构建版本 ​ 从 GitHub Releases 下载对应版本的 ZIP 包，解压后运行： 构建产物位于 single/ 目录： 编辑 vhdmonter_config.ini ： Maimoller HID 系统菜单（仅限增强版） ​ 使用 VHDMounter_Maimoller.exe 时，可通过 Maimoller 操控面板访问系统菜单。 完整功能说明、HID 数据包格式、数字编辑模式、故障排查等详情请参阅 Maimoller HID 系统菜单指南 。 Shell Launcher 配置（ kiosk 模式） ​ 为防止机台桌面泄露和非法操作，建议将 Windows 默认 Shell 替换为 VHDMounter。 Windows 10/11 Pro 或 Enterprise 已部署 VHDMounter.exe 到固定路径（如 C:\VHD\VHDMounter.exe ） 1. 备份原 Shell 配置 以管理员身份运行 PowerShell： 3. 恢复 Explorer（如需回退） 如需实现开机自动进入机台界面： 密码以明文存储在注册表中，仅在受控物理环境下使用。 生产环境机台加固（Windows IoT Enterprise） ​ 建议在正式机台上部署 Windows IoT Enterprise ，利用系统级锁定功能进一步减少暴露面。 通过 KeyboardFilter 禁用非必要按键： 配置值的完整语法和可用键码请参阅微软官方文档： https://learn.microsoft.com/zh-cn/windows/configuration/keyboard-filter/ 恢复：删除或修改对应注册表值。 配置 AppUser 自动登录： UWF（Unified Write Filter）可将指定卷设为只读，所有写入会落到覆盖层中，重启后自动丢弃。对于机台环境，推荐把 系统盘 做成受保护卷，再把必须持久化的目录显式加入例外。 下面示例假设：系统盘为 C: ，游戏数据或 VHD 文件放在 D: ，挂载目标盘符为 M: ，远程部署根目录为 C:\SOFT 。

1. 启用 UWF 并保护卷 ​ 以管理员身份运行 PowerShell： 2. 为常见持久化路径添加目录例外 ​ 如果客户端和配置文件不在同一路径，建议把配置目录单独放行： 3. 为常见日志 / spool 文件添加文件例外 ​ 如果你希望这些文件在重启后仍然保留，可显式加入文件例外： 如果日志目录和程序目录不同，请替换为你的实际路径。 4. 查看当前保护状态和例外 ​ 若需临时修改系统配置，先禁用过滤再重启： VHD / EVHD 数据文件所在盘 ：如果需要保留资源更新结果，通常不要把该数据盘做成受保护卷 远程部署目录 C:\SOFT ：如果你启用了 software-deploy ，这个目录几乎总是应该加入例外 客户端主程序目录 ：如果 Updater 需要直接替换程序文件，这个目录也应该加入例外 配置文件目录 ：机台 ID、注册证书路径、服务端地址等配置建议持久化，不要让每次重启都回滚 日志文件 ：正式机房如果只关心运行期日志、重启后可丢弃，可以不加例外；若要跨重启排障，则应明确放行 恢复：改为 0 ，或通过 secpol.msc > 本地策略 > 安全选项 > "交互式登录: 不显示上次登录的用户名" 设置为"已禁用"。 系统盘 BitLocker 加密 ​ 建议为系统分区启用 BitLocker，防止物理拆盘导致的配置泄露： BitLocker 的恢复密钥（Recovery Password）是一个 48 位数字 ，格式固定为： 每组数值必须 小于 720896 这意味着恢复密钥并不是任意 6 位数字的简单拼接。只要每组都满足这两个数值约束，就可以手工指定固定值，并统一部署到多台设备。 统一固定恢复密钥在批量部署上更省事，但也意味着一旦该值泄露，所有使用该值的设备都会一起失去恢复口令隔离。正式环境请按你的风控要求决定是否接受这一取舍。 该生成器为 纯前端本地生成 ：不会把任何恢复密钥上传、保存或同步到服务端，也不会写入浏览器外的持久存储。生成后请立即复制并按你的运维流程自行保存。 清理掉系统自动生成的旧恢复密码保护器 记录最终写入值，并在机房资产台账中保存 KeyProtectorType 是否包含 RecoveryPassword RecoveryPassword 是否就是你计划部署的固定值 启用 BitLocker 后首次启动需要完成加密过程，建议在机台正式投用前完成。