简介：面向希望在 Win11/Win10 新装机或日常使用中彻底关闭系统自带杀毒软件、减少后台通知打扰的用户，尤其适合家庭版环境下尝试多种方法仍未成功的读者。内容围绕 Defender 关闭与通知管理展开，覆盖账户控制提示、防火墙与安全中心通知、注册表禁用自动扫描、第三方工具处理等主题，并给出风险提醒和替代安全软件建议，便于排查设置入口与失败原因。文件围绕关闭杀毒、清理后台通知、处理自动扫描三条主线组织，包含安全中心通知开关位置、注册表命令与重启生效说明，以及一键工具的风险提示，对反复失败或家庭版受限的情况给出可复现路径。资源包仅含1个PDF，约19.04MB，以图文流程和要点标注呈现，适合本地逐项对照。已有13109人学习，可作为关闭 Defender 及清理安全通知的参考手册。

1. 那个点不动的开关：实时保护灰掉、点完弹回原位

新装完 Win11 或 Win10，很多人第一件事是打开「Windows 安全中心」，想把实时保护关掉。结果点一下开关，它自己弹回「开」；更常见的是整行变灰，鼠标点上去毫无反应，连个错误提示都没有。问题不在你手速慢，根源在于系统安全这一层根本没给你操作权限。我在一批新装机上连着踩过这个坑：十台里有七台的开关是灰的，剩下三台能点，但重启后防御功能又自己恢复。这类故障最麻烦的地方是它不报错，只有「没反应」「又开了」「关不掉」三种表现，翻一堆帖子照着做，还是原地踏步。如果你正在找 Win11、Win10 关闭自带杀毒软件的方法，下面这套排查顺序，是我从一堆灰开关里总结出来的。

2. 实时保护是灰的、点了自动回弹：三层开关到底卡在哪一层

2.1 篡改防护没关，后面所有操作都会被撤销

很多人一上来就改注册表、停服务、跑工具，全都没用，因为漏了最靠前的一层：篡改防护（Tamper Protection）。这个开关的作用就是防止任何程序（包括管理员权限下的脚本、注册表编辑器、第三方工具）改动 Defender 的核心配置。只要它开着，你改DisableAntiSpyware、停WinDefend服务、甚至只是点一下实时保护开关，系统都会在几秒到一分钟内把配置改回去——表现就是「点了没反应」「改完重启又开了」。

正确的顺序是：先进安全中心，进入「病毒和威胁防护」，点「管理设置」，把「篡改防护」这一项关掉，然后再动后面的任何东西。找不到它的话，Win11 的路径在「病毒和威胁防护 → 管理设置 → 篡改防护」，Win10 新版本位置基本一致，老版本可能在「Windows 安全中心 → 病毒和威胁防护设置」里。

关掉之后有个时间窗口，Defender 会在一段时间后尝试自动重新开启篡改防护（常见是一小时左右，不同版本表现不一）。所以真正的操作节奏是：关篡改防护 → 立刻做完开关、注册表、工具这一整套 → 立刻重启验证，别关完就去干别的，回头发现又回到原点。

如果你在「管理设置」里看到篡改防护是灰的，通常是组织策略下发的，这种情况见 2.2 和 2.3 的处理。

2.2 注册表键为什么写进去了也不生效

先说结论：DisableAntiSpyware这个键在 1809/1903 那个年代确实能直接把 Defender 关停，但从 2020 年下半年之后的客户端版本开始，系统对这个键的处理变了——很多机器写进去照样跑实时保护。所以它是这套流程里的「最后一道保险」，不是主力手段，别指望它单打独斗。

写法本身没错，问题往往出在权限和覆盖上。命令要在管理员终端里跑：

:: 必须以管理员身份执行，普通权限会直接报“拒绝访问” reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v "DisableAntiSpyware" /d 1 /t REG_DWORD /f

参数逐个说清楚：/v后面是值名，必须一字不差；/d 1是数据，1 表示禁用；/t REG_DWORD指定类型，写成 REG_SZ 就不会被识别；/f表示存在同名值时不询问直接覆盖——这一步很关键，如果之前已经有别的工具写过 0，不加/f会静默保留旧值，你以为改了其实没改。

跑完立刻回读一次，别信「操作成功完成」这句提示：

:: 回读，确认写入的是 0x1 而不是被覆盖成 0x0 reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware

如果结果里显示0x0，说明有别的东西在跟你抢这个键——优先怀疑组策略刷新、域下发的策略、或者是第三方安全管理软件在定时重置。这种情况下继续改注册表是没意义的，得先找到覆盖源。

还有一个容易忽略的点：这个路径是Policies下的策略键，不是SOFTWARE\Microsoft\Windows Defender下的配置键。网上不少帖子把路径写错，写到了后者，看起来命令执行成功了，实际对策略层毫无影响，这也是「照着做没效果」的高频原因。

2.3 家庭版没有组策略编辑器时的两条替代路径

专业版和企业版可以走gpedit.msc：计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → 「关闭 Microsoft Defender 防病毒」，设为已启用。这条路的好处是策略优先级高、不容易被自愈机制覆盖。

家庭版没有这个编辑器，硬装组策略组件包又是一堆副作用，我不建议。两条更稳的替代：

第一条是直接往策略层注册表写，效果和组策略等价，上面 2.2 的命令就是这个思路。区别在于组策略有gpt.ini和策略缓存，注册表是裸写，所以写完更要做回读验证。

第二条是用「设置」里的常规开关配合一键工具，把能关的先关掉，剩下的交工具处理。这条路对家庭版更友好，因为家庭版本身就是策略能力受限的版本，原料里提到的流程之所以能在家庭版上跑通，靠的就是「设置层 + 工具层 + 注册表层」三层叠加，而不是指望某一条命令通吃。

处理完这三层，重启一次再看。如果重启后开关还是灰的，问题大概率不在 Defender 本身，而在「Windows 安全中心」这个外壳进程上——见下一章。

3. 关掉又自己活过来：重启复活、通知反复弹的根因怎么拆

3.1 重启复活的三个来源，按概率从高到低排

第一个来源是篡改防护自愈。前面说过，它在关闭后会尝试恢复，如果你的操作跨了太长时间，中途就白做了。

第二个来源是计划任务。系统里有一组跟 Defender 相关的计划任务，在特定触发条件下会把配置拉回来，同时负责定时扫描。查一遍：

# 列出 Defender 目录下所有计划任务及状态 Get-ScheduledTask -TaskPath "\Microsoft\Windows\Windows Defender\*" | Select-Object TaskName, State

看到Ready或Running的，说明它们还在待命。要临时压住它们：

# 批量禁用该目录下的任务，需要管理员 PowerShell Get-ScheduledTask -TaskPath "\Microsoft\Windows\Windows Defender\*" | Disable-ScheduledTask

这里要提醒一句：Disable-ScheduledTask属于「能做但不一定留得住」的操作，篡改防护一恢复，这些任务会被重新启用。所以它必须和关篡改防护配套，单独执行意义不大。

第三个来源是第三方安全软件没装好。系统检测不到有效的第三方杀软，就会自动把 Defender 拉回主防位置。这个逻辑本身是合理的——系统安全不能空着。想彻底让 Defender 退场，最省事的方式其实是装一个正经的第三方杀毒软件，Defender 会自动进入被动模式，你连关都不用关。这也是我在给别人处理这类需求时最先问的一句：你是要装别的杀软，还是纯粹想让它别跑？两种情况方案完全不同。

3.2 通知该关哪几个：基于声誉保护、防火墙通知、病毒威胁防护

通知反复弹是另一个高频抱怨点。它和「关不掉」是两件事：很多人实时保护关了，但每次插 U 盘、下载文件、装程序还是弹一堆提示，因为通知的开关在完全不同的位置。

第一组是「应用和浏览器控制 → 基于声誉的保护设置」。这里面通常有三个选项：检查应用和文件、Microsoft Edge 的 SmartScreen、Microsoft Store 应用的 SmartScreen。关掉它们的影响是 SmartScreen 不再拦截未知程序，下载来源不明的安装包时不会有黄色警告条。这一组跟实时保护无关，关不关看你需不需要那层下载拦截。

第二组是「防火墙和网络配置」。域网络、专用网络、公共网络三个位置各自有独立的防火墙开关。要注意的是：这里关的是防火墙本身，不只是通知。如果你只是想少弹窗，别在防火墙主开关上动手，往下走一步进「防火墙通知设置 → 管理通知」，把通知项逐个关掉，防火墙规则本身可以留着。

第三组是「病毒和威胁防护 → 管理设置」里的各种警告和提醒项。这一组关掉之后，安全中心图标不会再挂红色感叹号，托盘也不会反复提示「你的设备存在风险」。

这三组加起来会碰到十几个勾选框，别图快一键全关。我的习惯是先只关「通知」类，保留「防护」类，跑两天看看还有没有打扰，再决定要不要往下关。一刀切的结果往往是某天发现连正常的驱动签名警告都不弹了，反而不好判断问题。

3.3 UAC 滑块和这套流程的先后关系

原料流程里第一步是把 UAC 滑块拖到「不推荐」。这里必须说清楚：UAC 和 Defender 没有直接因果关系，把滑块拉到底不会让 Defender 关掉。它在这套流程里的真实价值有两个：

一是减少提权弹窗的打断。一键工具、注册表导入、终端提权这几步都会触发 UAC 确认框，如果滑块在默认位置，中途要点好几次「是」，很容易在某一步点快了或者点错了，导致后面的操作在错误的前提上继续跑。

二是降低工具被静默拦截的概率。部分提权动作在 UAC 默认级别下会被额外询问，某些自动化脚本处理不了这个询问，表现就是「工具跑了但什么都没发生」。

把这步放在最前面的另一个好处是：万一后面翻车要回滚，UAC 是你唯一需要手动恢复的设置，顺序清晰不容易漏。

提示：UAC 滑块调到最低后，任何程序都能无提示提权，日常使用风险明显上升。这套流程做完、确认结果符合预期后，建议把滑块拖回默认档位。

4. 一键关闭工具跑完没反应：权限、拦截、假成功三个坑

4.1 「以管理员身份运行」不是走形式

双击运行和一键关闭工具的实际差别，比想象中大。Defender 的服务、策略键、计划任务全在系统级位置，普通权限下工具能读到状态但改不动，界面上的表现往往是：进度条走完了，按钮点了，日志区什么都没打印，任务栏图标还在。

正确做法是右键 → 以管理员身份运行。如果右键菜单里没有这一项，或者点了之后弹「系统找不到指定的文件」，通常是文件被移动过、或者被安全软件处理掉了——见 4.2。

判断工具有没有真正拿到权限，有个简单办法：跑完之后看它有没有生成日志、有没有在C:\Windows\Temp之类的目录留下临时文件。什么都没留下的，基本可以断定是权限没到位或者进程被中途终止了。

4.2 工具被 SmartScreen 和实时保护提前处理掉

这是个死循环式的坑：你要用工具关 Defender，但 Defender 先把工具当威胁处理了。表现是下载完解压出来，文件不见了；或者双击没反应，几秒后文件消失；或者弹「Windows 已保护你的电脑」，只有一个「不运行」按钮显眼。

处理顺序是：

先看实时保护是否还在跑。如果还在，临时关掉它（这一步可能要反复几次，因为自愈机制会拉回来），或者直接把工具所在目录加进排除项：

# 把工具所在目录加入排除列表，避免运行中被扫描删除 Add-MpPreference -ExclusionPath "D:\Tools\DefenderOff"

-ExclusionPath接受目录或文件路径，加进去之后该路径下的文件不会被实时扫描。注意这条命令本身需要管理员权限，并且篡改防护开着时可能失败——这就是为什么 2.1 那一步必须放最前面。

SmartScreen 的拦截则是另一套机制，它看的是文件信誉而不是特征。界面上点「更多信息 → 仍要运行」能过，但这只对当前这一次有效。如果工具在每次运行前都被拦，说明它的签名或者哈希在云端信誉库里不好看，这种情况下的选择只有两个：一是接受每次手动放行，二是换一个已经在这里跑通过的方式（比如纯注册表 + 计划任务，不依赖外部工具）。

4.3 任务栏图标消失不等于关闭成功

这是最容易让人误判成功的一步。托盘里的 Defender 图标消失，可能只是「Windows 安全中心」这个外壳进程没在跑了，不代表底层服务停了、实时保护关了。

我一般用三条命令交叉验证：

# 看核心服务的真实状态和启动类型 Get-Service WinDefend, WdNisSvc, Sense, SecurityHealthService | Select-Object Name, Status, StartType

# 看 Defender 自己报告的运行模式和保护状态 Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled, AntivirusEnabled, IsTamperProtected

判定标准要看清：AMRunningMode显示Normal说明主防还在跑；显示Passive Mode是第三方杀软接管后的正常退让状态；RealTimeProtectionEnabled为True就是还在实时防护。IsTamperProtected为True说明篡改防护没关掉，前面的操作随时可能被撤销。

如果命令本身报错「无法识别 cmdlet」或者返回空，说明 Defender 的 PowerShell 模块已经不可用了，这反而是关得比较彻底的信号——但要用服务状态再确认一遍，别把「模块坏了」当成「关成功了」。

5. 避坑：这几条踩过的坑，按现象、原因、解决说

5.1 操作阶段的三个坑

现象一：注册表提示「操作成功完成」，重启后实时保护照样在跑。原因是键写进去了但没生效——要么路径写成了SOFTWARE\Microsoft\Windows Defender而不是Policies下的策略键，要么被组策略或其他管理软件覆盖回去了，要么当前版本本身就不认这个键。解决方式不是反复重写，而是先用reg query回读确认当前值，再看有没有域策略或安全软件在定时重置；确认键值正确但行为不变，就说明这条路在当前版本上走不通，把精力转到篡改防护和计划任务上，别在这里耗。

现象二：篡改防护关掉了，过一会儿自己又打开了。原因是它本来就是设计成会自愈的，关掉后系统会在一个时间窗口内尝试恢复。解决方式是压缩操作时间：关掉篡改防护之后，立刻按顺序做完实时保护、通知、注册表、计划任务，中间不要穿插别的事，做完马上重启验证。如果你需要多次调试，每次调试前重新确认一遍篡改防护状态，别默认它还是关着的。

现象三：一键工具跑完，安全中心打不开了，任务管理器里也找不到相关进程。原因是工具把服务和应用层一起处理了，安全中心这个外壳没了宿主，点击自然没反应。这不一定是坏事，但要分清「关掉了」和「弄坏了」。判断方法是看系统更新能不能正常跑、第三方杀软能不能正常装、Get-Service里WinDefend的状态是什么。如果只是外壳打不开而底层服务正常停着，属于预期结果；如果是服务状态异常、系统更新报错，那就是弄坏了，需要回滚（回滚方法见 6.3）。

5.2 收尾阶段的两个坑

现象四：关完之后系统变得很卡，或者某些正常软件装不上。原因通常是两层：一是关掉 Defender 之后没有装第三方杀软，系统安全这块空着，某些安装程序会检测到「无防护」状态并拒绝继续；二是防火墙被整组关掉了，而不是只关通知，导致部分依赖本地回环的调试工具、数据库连接、容器网络出现异常。解决方式是先区分「防护类」和「防火墙类」两个概念，把防火墙主开关恢复，只保留通知关闭；同时装一个第三方安全软件填空，别让机器裸奔。

现象五：过了一两个月，Defender 自己回来了。原因一般是系统大版本更新。功能更新会重新下发默认安全策略，把之前改过的注册表键、计划任务、服务启动类型一并重置。这个坑很隐蔽，因为更新当时没感觉，等你发现托盘图标又出现了才反应过来。解决方式是在每次系统大版本更新之后，重新走一遍状态核对（下一章的三条命令），发现问题就按原流程补一遍，别等它跑起来才处理。

注意：关掉系统自带杀毒软件之后，机器就处在一个没有实时防护的状态。至少在装好并确认第三方安全软件正常工作之前，不要拿这台机器去开来源不明的安装包、挂载陌生移动介质。

6. 出事之后怎么快速定位：三条命令加一张对照表

排查这类问题，我不看界面，看状态。界面会骗人——图标消失、开关变灰、页面打不开，都可能是外壳问题而不是真实状态。下面三条命令是我每次都先跑的：

# 1. 服务层：看核心服务是否真的停了 Get-Service WinDefend, WdNisSvc, Sense, SecurityHealthService | Format-Table Name, Status, StartType -AutoSize # 2. 引擎层：看 Defender 自己怎么描述当前状态 Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled, AntivirusEnabled, IsTamperProtected # 3. 策略层：看禁用键到底写没写进去、值是多少 reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware

三条命令的结果组合起来看，基本能定位到卡在哪一层：

想恢复的时候，按反方向走就行，不用重置系统：

:: 删掉禁用策略键，等价于把策略恢复为“未配置” reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v "DisableAntiSpyware" /f

# 重新启用之前禁用的计划任务，然后重启 Get-ScheduledTask -TaskPath "\Microsoft\Windows\Windows Defender\*" | Enable-ScheduledTask

删键之后重启，进安全中心把篡改防护重新打开，实时保护会自己回来。如果服务启动类型被改过，用Set-Service WinDefend -StartupType Automatic改回去，再重启一次确认。

我现在的习惯是：每次动完这类系统级开关，不管当时看起来多成功，都强制把上面三条命令跑一遍，把输出贴在操作记录里。因为这类故障的反馈周期特别长——今天看着关掉了，可能下个月一次更新就回来了，到时候手上有当时的输出，才能判断是没关干净还是被重置了。这套核对流程花不了两分钟，但省下来的返工时间不止两小时。希望帮到你。

本文还有配套的精品资源，点击获取