Windows 11 将能在隔离模式下运行 Win32 应用，是否意味着 Chrome 半明文保存密码的问题得到解决了？

[qqqyh]

https://www.solidot.org/story?sid=75049

在 Build 2023 开发者大会上，微软宣布 Windows 11 将能在隔离模式下运行 Win32 应用。软件巨人通过旗下的 GitHub 发布了 Win32 app isolation 的预览版本。顾名思义，Win32 app isolation 允许在一个隔离的环境中运行 Win32 应用，增强整个系统的安全性。如果该 Win32 应用已经被黑客入侵，那么在隔离环境中运行不会导致整个系统被渗透。

https://github.com/microsoft/win32-app-isolation

[loading]

没有，你的电脑被人摸到的时候，chrome 还是不能保护你的密码。

[qqqyh]

@loading 但在这之前，电脑没被人摸到的时候 chrome 也保护不了

[ysc3839]

理论上是的，但实际是怎么个情况很难说，我严重怀疑只对 AppX 打包的应用有效，未打包应用还是不隔离

[ysc3839]

点进去看了，是要打包成 AppX 的

[0TSH60F7J2rVkg8t]

@ysc3839 看了 github 上的文档，你猜测的没错。就是要打包成 AppX ，还得配置了 package 的 profile 才能有效。我感觉这玩意儿挡不住流氓。

[zed1018]

以微软的兼容性包袱，也不大可能上来就把所有的都关沙盒里。

你们的安全需要在付钱大爷的上古软件运行兼容性面前不值一提。

[loading]

@qqqyh #2 我关心的是国内各大 app 能不能扫我硬盘。

[wipbssl]

刚刚试了下把 sumatrapdf 打了个包，感觉没有什么区别。打开的时候会稍微卡一下，然后使用和普通安装是一样的

[wipbssl]

看了下还是挺有用的，只能打开 downloads 、documents 、videos 之类的用户文件夹，其他文件夹都显示是空的，无法访问其他路径

[wipbssl]

这下直接把国产流氓重新打包就可以了，然后自己做个签名就可以正常使用了

[wipbssl]

可以看到其他地方的文件，但是不能读取

[crz]

看到的时候以为是类似 sandboxie 的 runner ，可以对系统调用、存储、网络、硬件等控制访问

看 repo 感觉是把以前 win32 可以打包成 appx 的事重新提了一下？

[Huelse]

然后某一年突然出现沙盒漏洞...
微软紧急表态但就是不修复。

[ysc3839]

@wipbssl 可以试试把 cmd 之类的打个包，然后手动执行命令看看能访问什么地方

[wipbssl]

@ysc3839 <img src=""/>
我打包了 powershell ，看起来默认似乎完全无法访问文件系统

[wipbssl]

@ysc3839 有文档说明： https://github.com/microsoft/win32-app-isolation/blob/main/docs/fundamentals/consent.md
<img src=""/>
授予访问权限主要通过主动提示、拖拽、类型关联等方式获得，默认是没有任何文件权限的。Sumatra PDF 是使用 file dialog 才获得了文件权限。

[wipbssl]

但 file dialog 似乎有些 bug ，我后面又测试了一下，通过 file dialog 是可以正常访问全部的 C 盘文件的，但是无法访问 D 盘文件，提示 not found 。

[LnTrx]

除非足够方便，可以成为默认的习惯

[22P]

试了下 QQ ，把 Q 盾去掉了，AppData 文件夹下旧文件夹不删掉还是能持续访问，个人文档文件夹能访问，要是能把 “使用全部系统资源” 这项权限去掉就能进一步测试了。

[mobpsycho100]

感觉还是比 sandboxie 麻烦一点

[22P]

打包后的 FireFox 能正常从 Microsoft Edge 浏览器导入书签等资料，通过 file:///C:/ 能访问 C 盘，所以目前这隔离没效果

[ikas]

重点是让 win32 可以使用 AppContainer 了..