在 Win11 上双击一个 .exe 安装包，要么干脆没反应，要么直接弹出“不支持此应用安装”——这种尴尬，升级后不少人都碰上过。更糟的是，连 Notepad++、7-Zip 这类最基础的官方安装包都打不开，那基本可以确定，问题不在单个软件，而是系统层面已经把本地可执行文件的安装通道给封死了。
别急着重装系统，下面这五步操作，按顺序走一遍，大部分情况下都能解封。每一步都有用，跳不过去的话，前面做的可能就白费了。
放开系统安装来源限制
Windows 11 默认只认微软商店里的应用，从桌面直接双击的 EXE 安装包，刚一冒头就会被系统拦下。这一步是基础中的基础，不先把它放开，后面所有操作都等于零。
1. 点击“开始”，搜索并打开“设置”。
2. 左侧选择“应用”，右侧点“应用和功能”。
3. 往下翻，找到“选择获取应用的位置”，点开右边的下拉箭头。
4. 选择【任何来源】——这时候系统会弹出安全警告，别犹豫，点“是”确认。
关闭智能应用控制（SAC）
这个功能从 Win11 22H2 版本开始默认开启，它会后台扫描安装程序的数字签名和微软云信誉库。哪怕你从官网下载的正版 setup.exe，只要微软还没收录它，就可能被悄然拦截。所谓的“评估模式”，本质上就是静默阻止。关掉它，才算真正放了行。
方法一：图形界面操作
1. 设置 → 隐私和安全性 → Windows 安全中心 → 应用和浏览器控制。
2. 往下翻到“基于声誉的保护”区域，点击“智能应用控制”。
3. 把开关从“评估模式”直接拖到【关闭】状态。
方法二：快捷命令（推荐，一步到位）
右键“开始”按钮 → 选择“Windows 终端（管理员）”→ 粘贴并执行以下命令：
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser -Force; Set-ProcessMitigation -System -Disable EnableExportAddressFilter
这条命令直接强制禁用 SAC 的核心防护链，比图形界面更彻底，也省去翻菜单的麻烦。
清除单个安装文件的网络锁定标记
从浏览器、微信或者 QQ 下载回来的 EXE 文件，Windows 会自动给它贴上一个隐藏的“Zone.Identifier”标记。即便你已经放开了来源、关掉了 SAC，系统在双击的瞬间还是会读取这个标记，然后直接终止运行。这是整个流程里最隐蔽、也最容易被忽略的一环。
1. 在文件资源管理器里右键目标安装程序（比如 chrome-setup.exe）→ “属性”。
2. 查看“常规”选项卡底部，有没有显示“此文件来自其他计算机，可能被阻止……”这行提示。
3. 如果有，勾选下方的“解除阻止”复选框 → 点击“应用”。
【注意：这个操作不可逆，而且只对当前文件生效。要是跳过这一步，前面所有设置都白做。】
以管理员身份强制运行安装程序
即使你登录的是管理员账户，UAC 默认还是会以低完整性令牌来启动进程。一旦安装程序试图往 Program Files 或者注册表 HKEY_LOCAL_MACHINE 里写东西，马上就会触发权限拒绝。必须手动提权才能打通最后一关。
第一步：右键安装程序图标 → 选择“以管理员身份运行”。
第二步：UAC 弹窗出现时，必须点击【是】。点“否”或者直接关掉窗口，进程会以受限权限启动，安装必然失败。
第三步：如果后续还需要反复安装多个软件，可以把这个设置永久生效——右键该 EXE → “属性” → “兼容性”选项卡 → 勾选“以管理员身份运行此程序” → “确定”。
启动 Windows Installer 后台服务
有些安装包（尤其是 .msi 格式或者用打包工具生成的 installer.exe）依赖 Windows Installer 服务（msiserver）来解析安装逻辑。这个服务在某些系统更新后可能被改成了“手动”甚至“禁用”，导致安装流程在初始化阶段就直接崩溃，报错代码通常是 1603 或 1706。
1. 按 Win + R，输入 services.msc 回车。
2. 在服务列表里找到“Windows Installer”。
3. 双击打开属性 → 将“启动类型”设为【自动】→ 如果状态是“已停止”，马上点“启动”。
4. 点击“应用” → “确定”退出。
完成这五步之后，绝大多数被封锁的 EXE 安装包都能顺利运行。如果还是不行，那可能需要检查一下杀毒软件或者组策略设置了——不过那就是另一篇文章的内容了。
