我有过同样需求，除了火绒也没找到其它软件。但我不想使用（非开源）国产安全软件，所以找了些其它曲线方式。

如果必须用某些国产软件，又不想让这些软件窃取隐私。除了虚拟机，有几种方案：

1. sandboxie-plus. 在 sandbox 配置里可以设置某些路径对于沙盒里程序不可访问。缺点是路径需要自己一个个手动添加，默认配置下所有路径都可以访问。

2. 在 windows 用户管理 (lusrmgr.msc)里创建专门的普通权限("Users" group)用户，然后在当前桌面会话里用这个用户身份安装 /运行程序。Windows 自带的 runas 工具可以命令行形式以其它用户身份运行命令，但是每次必须从 stdin 输入该用户的密码。建议使用微软出的 PSTools 里的 PsExec.exe 命令行工具：

PsExec -accepteula -d -user user -p "123456" "C:\programs\qq\qq.exe"

即可以 user 用户(密码 123456 ）身份运行 qq.exe 。写个 bat 脚本就可以自动化。

这种方式好处是，非 administrators 用户默认配置下即无法访问其它用户的主目录(%USERPROFILE%, 浏览器历史记录等信息都在这里)，如果需要保护其它目录，也可以通过配置 D:\ 等各盘符根目录的 NTFS 权限轻易实现。

3. Windows sandbox. 这个本质上也是(Hyper-V)虚拟机。但是打开和启动速度很快。 使用 *.wsb 文件可以配置 Windows Sandbox 很多参数。双击 .wsb 直接用指定的参数启动沙盒。可以在 .wsb 里把 host 里的某个目录挂载到 sandbox 里，或配置 sandbox 启动时自动运行命令，例如：

<Configuration>
<VGpu>Disable</VGpu>
<Networking>Disable</Networking>
<MappedFolders>
<MappedFolder>
<HostFolder>C:\programs\qq</HostFolder>
<SandboxFolder>C:\qq</SandboxFolder>
<ReadOnly>true</ReadOnly>
</MappedFolder>
</MappedFolders>
<LogonCommand>
<Command>C:\qq\qq.exe</Command>
</LogonCommand>
</Configuration>

然后双击 *.wsb 就直接在 sandbox 里打开 qq 了。

这种方式可以提供最佳的保护能力。缺点是一般只能用来运行绿色软件。需要安装的软件必须每次启动 sandbox 时安装一次，体验不可接受。

设备自身安全：
手机：无法保证安全。特别是国产手机。
电脑：所有电脑启用全盘 BitLocker 加密。不使用 TPM ，每次开机时自己输入密码。

网络安全：
涉及敏感操作的网络活动（从注册账户到发帖）全程使用 tor browser + 自建 vps 前置代理。使用 ProtonMail 之类的匿名邮箱。任何账户不关联手机号，不使用付费服务（支付环节保持匿名是最困难的，即使使用虚拟货币+混币器）。

高度敏感的网络安全：
在上面的基础上，使用 Tails 。

Macbook 不了解。我专门研究过 BitLocker / TPM ，结论是任何使用 TPM 的 BitLocker 都是不安全的。即使不考虑国产 TPM 芯片潜在的后门，也可以通过旁路攻击（拦截 TPM 与 CPU 直接的 LPC 总线明文传输）等方式获取 TPM 里保存的密钥。更有 Cold boot attack (冷启动攻击) 这种大杀器。

TPM + pin 这种 protector 方式并没有从本质上增加 BitLocker 安全性（参考资料：[PIN does not become part of the key]( https://security.stackexchange.com/questions/232600/why-doesnt-the-pin-become-part-of-the-encryption-key-in-bitlocker-with-tpm)）。我建议只使用 password 这种 protector (需要配置组策略)，并且在不用时完全关机（ shutdown ）或休眠(hibernation, 即 ACPI 的 S4 状态)电脑以防止 CBA 攻击。

我觉得 PT 这种类型网站毫无意义 ----

- 人为制造出邀请注册、账户考核（甚至还有连坐）等各种毫无意义障碍，妨碍信息自由流通。
- 很多 PT 网站的长期账户考核要求的上传 /下载比例 > 1 。那么所有人都在上传，谁来下载？我只能认为是站方为了卖赞助会员。

对于下载者而言：现在有无数公开免费的渠道和方式可以获取到自己想要的任何资源。我没有用任何 PT 站，但是从未因为找不到想要的资源而困扰。

对于分享者而言：由于互联网带宽成本的下降以及低价云服务的流行，现在有各种便捷而成本低廉的分享资源方式（比如：Google 网盘每个用户分享的文件每天可以被下载 10TB 而无速度限制），完全不需要借助 PT 这种方式来保证分享可持续性。我觉得伸手党也没什么不好的，人们有自己的生活，没有理由要求其他人和自己一样。重要的是信息能够得到自由传播。

你们直接复制文字保存 / 分享不行吗，为什么非要截图。对于信息接收方的体验文字 > 图片 > 视频。

FreshRSS + RSSHub 能够满足任何 RSS 需求了，为什么还要自己重写一个

不仅仅是中文互联网，整个互联网（ Web ）的用户体验都在严重下降。

1. 垃圾内容充斥。Google 搜索结果里充斥了大量垃圾站群、内容农场、甚至机器翻译生成的整个网站。真正的高质量原创内容很少排名靠前。我现在已经习惯加 site:stackoverflow.com 这种搜索方式了。
2. 移动端的浏览器体验极差。所有网站都在强推自己的 App 。就连 Reddit / Twitter 这种网站通过手机浏览器访问时都会弹出个占了小半个屏幕的 "Continue in App" 的提示框。我现在已经不得不把 Chrome 手机版设为永久 desktop ua 模式（代价是必须忍受桌面版的页面布局）。
3. 所有网站都在想方设法诱导、强迫用户注册、登录。Twitter 不登陆只能查看用户 timeline 前几条消息。如果你的 Chrome 登录了 Google 账号，Medium 每次打开都会在顶部弹出一个 "Login with Google account XXX to continue" 的干扰横条（用的是 Google 提供的 Sign in with Google API 显示的 iframe ，可以在 Google 账户设置里禁用掉）
4. 欧盟的 GDPR 毁了整个 Web 。几乎所有国外网站第一次打开时都会弹出个 "Accept cookies" 的提示框。如果你习惯用浏览器隐私模式 / Tor Browser / 禁用 JavaScript 模式访问网站，那么就是每次都会出现。PC 上可以通过 "I don't care about cookies" 这种浏览器扩展缓解这个问题。手机 Chrome 上是真没办法，烦不胜烦（手机上 Firefox / 一些第三方 Chromium 浏览器支持扩展，代价是无法使用 Google 同步）。
5. recaptcha / hcaptcha 之类的出现频率越来越高。不仅注册 /登录，很多网站正常浏览时都会冒出个 captcha 。如果你用 Tor browser ，那么 captcha 更是无处不在。而且现在的 captcha 非常麻烦（在 9 个格子的图里选出交通信号灯格子，至少要做 2 张图），单次解答的成功率连一半都不到，而且至少要花费 10 几秒。（如果你的浏览器登录了 Google 账户并且 IP 感觉，很大部分的 recaptcha 可以一键通过，但 hcaptcha 是真没办法）

剩下待补充。

直接重装 Enterprise 或 LTSC 啊。这 2 个 sku 里面连 store 都没有。

连 Google Drive 都开始审查文件了。tg 里有人自用的付费 Google 网盘企业版里存的文件都无法下载了，而且文件纯自用，并没有分享。所以建议网盘所有文件加密。考虑到易用性，rclone encrypt 是最好方案了。国内网盘的话，好像只有世纪互联的 OneDrive 支持 rclone

随便申请个域名，然后直接把 dns 记录配置到域名里。

我就是这样搞的，家里的设备都绑定了 *.h.example.com 这种域名。注意 OpenWrt 的 dnsmasq 默认开启了 rebind 保护，需要在配置里加一行 rebind-domain-ok=/example.com/ 允许解析到私有地址。

这样做好处是：
1. 更换路由或者路由器刷固件后不需要重新配置。
2. 配合 zerotier 等跨区域组网工具使用时，在其他网络环境下也可以直接用域名访问家里设备。

想借楼问下，假如手机开了 adb 并且已经信任过 PC 、手机已 root 并且已经授予了 adb shell 的 root 权限。那么锁屏状态下如何在 PC 上用 adb 去掉锁屏密码？

理论上应该能做到的。adb shell + su 进入就能改所有系统文件。但我在网上找了很久都没找到方法。

我还以为你想要用来传照片到 Google Photos...

为什么这么多人要自建 bitwarden 。官方的服务器有什么问题吗

我自己一直用的方法，彻底禁用 Windows Update, Windows Defender 等 Win 10 自带的垃圾组件，亲测（ 2019 LTSC 和 20H2 均）有效：

首先以下所有操作用 SYSTEM 用户身份执行（有很多方式，最简单的是用 [SuperCMD]( https://raymai97.github.io/SuperCMD/) 这个工具）。

运行 services.msc ，禁用并停止以下服务（某些服务可能停止按钮是灰色，可以先禁用，重启机器后这个服务就不会启动了）：

* Windows Security Service (SecurityHealthService)
* Windows Defender Advanced Threat Protection Service (Sense)
* Windows Defender Firewall (mpssvc)
* Security Center (wscsvc)
* Microsoft Defender Antivirus Service (WinDefend)
* Microsoft Defender Antivirus Network Inspection Service (WdNisSvc)
* Windows Update (wuauserv)
* Update Orchestrator Service (UsoSvc)

用 NTFS 权限禁止 everyone 访问 %windir%\System32\usocore.dll 或 %windir%\System32\usosvc.dll （视 Windows 10 版本不同）这个文件。需要先取得文件所有权，可以用[这个]( https://github.com/Abhinav1217/TakeOwnership/blob/master/InstallTakeOwnership.reg) 右键菜单。否则 Update Orchestrator Service 这个服务会被系统自己恢复拉起，即使已经禁用。

taskschd.msc 打开计划任务管理器，左侧树状导航里定位到 Task Scheduler Library \ Microsoft \ Windows， 将 CloudExperienceHost / Customer Experience Improvement Program / Diagnosis / Feedback / WindowsUpdate / UpdateOrchestrator / Windows Defender / Windows Error Reporting 等该文件夹里的所有计划任务全部右键禁用掉。

最后资源管理器里打开 %WINDIR%\system32 , 接管 ActionCenter.dll 和 ActionCenterCPL.dll 这两个文件的所有权，然后把这两个文件重命名为其它文件。否则每次系统启动时都会在右下角弹出一个"Turn on Windows Security Center service" 的警告弹窗。

建议用修改路由表方式达到这种效果。比直接改默认网关更稳定。

假设旁路由 IP 192.168.1.100:

使用旁路由：

route add -p 0.0.0.0/1 192.168.1.100 metric 100
route add -p 128.0.0.0/1 192.168.1.100 metric 100

取消：

route delete -p 0.0.0.0/1 192.168.1.100 metric 100
route delete -p 128.0.0.0/1 192.168.1.100 metric 100

这种双向链接方式不就是 wiki 吗，我觉得自建个 mediawiki 之类的做知识管理比这效果更好吧。

如果不想用沙盒，可以创建个非管理员的普通用户，然后 shift + 右键 qq.exe 选择用普通用户运行即可。

不过普通用户默认仍然可以访问非系统盘的所有文件，需要手工设置下 NTFS 权限。