Windows如何识破文件“身世”？揭秘Web标记机制与安全真相

【区角快讯】日常操作电脑时，不少用户都曾被那个突如其来的弹窗搞得一头雾水：“此文件来自其他计算机，可能会被阻止以帮助保护你的电脑”。这并非系统无端猜忌，而是Windows内置的一套名为Mark of the Web（简称MOTW）的追踪机制在起作用。它像给文件贴了张“身份证”，专门记录来源，以便操作系统判断是否需启动额外安全审查。

当文件从互联网或潜在风险区域下载时，系统会自动附加这一来源信息。支持该机制的应用程序据此弹出警告，或施加运行限制。想确认这点其实不难，右键点击文件选择属性，在常规选项卡底部找找看，若有安全警告及“解除阻止”复选框，便证实了MOTW的存在。勾选并应用后，标记被移除，警告自然消散。

若想看更深层的细节，得借助NTFS备用数据流中的Zone.Identifier。在文件目录打开命令提示符或PowerShell，输入`notepad 文件名:Zone.Identifier`。若存在标记，记事本会弹出一个文本窗口，里面可能藏着ReferrerUrl（引导页地址）、HostUrl（实际下载地址）以及ZoneId（安全区域编号）。当然，具体字段取决于创建标记的浏览器或软件，未必全有。

值得注意的是，ZoneId的数字含义明确：0代表本机，1是本地内网，2为受信任站点，3指互联网，4则是受限站点。看到ZoneId=3，就意味着系统认定该文件源自公网。但别以为没标记就绝对安全，如果文件被复制到不支持NTFS备用数据流的文件系统，或被不保留标记的软件解压，甚至手动解除了阻止，这些关键的身份信息都会彻底丢失。