Windows Update Blocker：给更新装开关

它到底解决什么

Windows 11、10 这几年把"关自动更新"这条路越收越窄——控制面板和设置里根本找不到关闭开关，系统会自己检查、自己下载、自己装，装完该重启就重启，不问你乐不乐意。官方原文说得直白：想拦住它，办法是去停 Windows Update 这个系统服务，但那得开服务管理器、找到服务、改启动类型再改状态，改完想恢复还得再来一遍，对着不懂电脑的现场人员来说门槛不低。

Windows Update Blocker（简称 WUB）就是把这几步做成了一个按钮。它是一个免安装的便携小程序，界面上一个开关，"Disable Service"对应关、"Enable Service"对应开，点完"Apply Now"立即生效，不用自己去翻服务列表。它还带一个"Protect service settings"选项，勾上之后能防止这项设置被别的进程悄悄改回去——这条后面会细讲，是判断这工具靠不靠得住的关键。另外它支持把其它跟更新相关的服务也一并纳入管控（写进配置文件即可），但官方明确点出一条边界：WUB 不管 Microsoft Defender 的病毒特征库更新，这部分照常联网更新，不受它影响。

展厅哪道工序会用到它

第一种，工程机进场后的最后一道加固。 展厅播控主机、互动一体机装完系统、跑通所有展项之后，最怕的就是运营期间半夜被系统自己一次更新加重启打断——第二天开馆一看，屏幕停在登录界面，播控软件根本没启动。这是全场景里最高频的一种。

第二种，批量部署交付前统一锁定。 一个项目往往同时铺开好几台甚至十几台工程机，交付前逐台把更新锁死，是标准动作之一，跟锁屏、关通知、配开机自启（可参考开机自启与一键还原）通常是同一批收尾工作里一起做的。

第三种，老旧兼容展项的长期维稳。 有些互动展项因为驱动或采集卡的兼容性问题，只能用较老的 Windows 版本长期运行，系统更新一旦悄悄换掉某个显卡驱动版本，多屏拼接的参数、EDID 覆盖这些精细调过的设置就可能跟着乱掉——这条跟站内 CRU 那篇提到的"驱动升级冲掉改动"是同一类风险，只是这里从源头把触发它的更新动作先掐掉。

怎么获取，该下哪个包

官方唯一发布渠道是 Sordum.org 的这款软件主页，页面上直接给出两个可执行文件，按系统位数选一个就行：32 位环境用 Wub.exe，64 位环境（目前绝大多数工程机都是）用 Wub_x64.exe。官方页面上还给出了这两个文件各自的哈希值，落地前可以核对一下，避免拿到被改过的第三方镜像包。

授权这块要说清楚：这是一款免费闭源软件，不提供源代码。官方 EULA 允许你把安装包原样复制、转发给别人使用，但不能收取任何费用、不能把它当成商品卖，转发时要带上指向官方主页的直达链接。有一条限制工程交付时特别要注意：未经作者许可，不得把这个程序打包进"出售的产品"里。免费拿来自己现场用没有问题，但如果打算把它当作项目交付物的一部分、跟着收费的系统集成方案一起打包给甲方，这条款字面上就踩到了边界——保守的做法是不把它算进任何收费条目，交付说明里注明它是甲方自行从官网免费获取安装的第三方工具，而不是由集成商"提供"的产品组成部分。

最短可用路径

1. 从官方页面下载对应位数的可执行文件，解压后直接运行——不需要安装向导，也不会在系统里留下安装记录。
2. 打开后界面上会显示当前 Windows 更新服务的状态图标，一眼能看出现在是开着还是关着。
3. 要关闭更新，点选 Disable Service，再点 Apply Now 让改动生效——只切换选项不点这一步是不算数的，这是最容易漏掉的一步。
4. 建议同时勾上 Protect service settings，防止这项设置在你不知情的情况下被悄悄改回来。
5. 想验证是否真生效，打开系统自带的服务管理器看 Windows Update 这项服务的状态是不是变成了"已禁用"；也可以去系统设置里点一次"检查更新"，如果连不上或报错，说明通道确实被掐断了。
6. 如果这台机器还有其它跟更新扯上关系、你也想一并管住的服务，可以在程序的配置文件里追加服务名（官方给出的上限是一次最多加二十五个），常见的是负责触发更新检测、修复更新组件的那几个辅助服务。

展厅工程里真正要弄明白的那几件事

这一节是全篇的重点，不需要记住每个按钮的位置，但下面几条判断，现场和售前都用得上。

正确姿势是先稳定、再关闭，不是装完系统立刻关。 系统刚装好那阵子，恰恰是最需要更新把驱动、补丁都拉到一个可用状态的窗口期——过早关闭更新，反而可能让机器停在一个本身就有已知问题、后续也没法自动修的版本上。合理的顺序是：装系统、装好显卡等各类驱动、跑一轮更新把系统拉到当前稳定状态、验证展项都正常运行，最后一步才是关更新。

关掉更新的代价必须和它的好处一样被认真对待：这台机器从此不再自动收安全补丁，而它长期挂在甲方的内网里。 甲方的 IT 部门有可能明确要求内网机器保持更新在线，也可能在例行安全巡查时把长期不更新的机器标记为风险资产。这不是工程师一个人可以拍板的事，得跟甲方说清楚"为什么关、关了以后谁负责后续安全"，最好落成书面——写进项目交接单或运维方案里，同时约定一个明确的维护窗口（比如每月或每季度闭馆时段），到期由谁、用什么方式手动检查并安装安全补丁。这一条比操作步骤本身重要得多。

必须留一条随时能打开的回退路径。 遇到确实需要装某个补丁的情况（比如某个漏洞已经被公开利用、甲方要求限期修复），流程应该是：先点 Enable Service 打开服务、Apply Now 生效，去系统设置里手动检查安装需要的更新，装完验证系统运行正常，再重新点 Disable Service 关回去。整个过程不依赖联网自动完成，全靠人工判断该不该装、装完要不要重启，这也是为什么"约定维护窗口"比"装完就再也不管"要靠谱。

别把它当成唯一的路子。 如果甲方本身是有正经 IT 部门、机器又接入了企业域的大单位，人家大概率已经有域策略、WSUS 或类似的更新管控体系在跑，这种场合应该走甲方现成的流程，而不是在个别机器上单独塞一个第三方小工具——不仅会和统一策略打架，出了问题也说不清是谁的设置生效了。即便是不依赖第三方工具、自己动手关闭更新，也有服务、组策略、注册表三条原生路子可选，具体操作和版本差异可以参考站内这篇关闭 Windows 更新/通知/锁屏。

踩坑与排错清单

什么时候别用它

前面 frontmatter 里那三条边界，展开说说：一是甲方有明确的合规或安全巡查要求、机器需要保持更新在线的场合，关了会在下次审计里被标记为风险项，没有书面约定不要擅自动手；二是甲方自己有 IT 部门、走域策略或 WSUS 统一管控的大单位环境，这类场合该走人家的流程，单独装小工具反而添乱；三是对软件资产来源有严格合规要求、不允许来源不明的免费闭源工具进内网的环境，这类项目最好换成前面提到的服务/组策略/注册表原生手段，不引入第三方可执行文件。

与本站的衔接

• 不依赖第三方工具、自己动手关闭更新与通知锁屏的完整步骤，参考关闭 Windows 更新/通知/锁屏。
• 关更新只是工程机稳定运行加固的其中一步，开机自启与一键还原配置见开机自启与一键还原。
• 更新导致驱动、EDID 配置被覆盖这一类风险，和站内 CRU 那篇讲的是同一个根源，可以对照着看。

单机维护和批量交付是两件事

一台机器怎么调，靠的是工程师的经验；十几台机器怎么保持一致、怎么长期无人值守不出事，靠的是流程和系统。后者才是展厅项目真正的成本所在。

企服君把工程机的状态采集、异常告警、批量操作做成标准能力，让交付质量不依赖具体是谁在做。集成商如果每年要交付多个展厅，见集成商年费方案。

出处

• Windows Update Blocker 官方发布页（Sordum Team）：https://www.sordum.org/9470/windows-update-blocker-v1-8/
• Sordum.org 官方 EULA（免费许可、分发限制、不提供源代码等条款）：https://www.sordum.org/eula/

本文所述的软件行为、授权条款均来自上述官方材料；"关了以后为什么还是更新了"这部分内容中，涉及已下载更新继续安装、BIOS/UEFI 厂商级更新、企业远程管控三点，来自 Sordum 开发团队在官方页面下对用户提问的回复。文中涉及的展厅工序判断、维护窗口与甲方沟通留痕的建议属于工程经验，具体请以现场实际情况和甲方要求为准。