功能定位：手动查杀与自动化检测的边界
SafeW 的手动查杀功能，是为应对自动化扫描未能识别的潜在威胁而设计的补充能力。在日常使用中，SafeW 的实时防护与定期扫描已能覆盖绝大多数已知恶意软件，但未知威胁（如 Zero-day 漏洞、变种病毒、加壳程序）可能绕过特征库检测。此时，用户可主动选定文件、文件夹或进程，触发深度分析——包括启发式引擎、行为模拟、云沙箱等更耗资源的检测手段。
以合规与数据留存为主线，手动查杀弥补了自动化检测在“未知判决”上的盲区。但这也意味着，每一次手动操作都应留下可审计的记录：扫描时间、文件哈希、结论、操作者身份，以便在事后溯源或举证时使用。本文将以 SafeW 截至当前的最新版本（以下简称为“当前版本”）为基准，阐述手动查杀的最短路径、平台差异、例外场景，并重点强调审计日志的配置与验证方法。
操作路径：最短可达步骤
Windows 平台
在 Windows 上，手动查杀的最短路径是通过文件资源管理器的右键菜单来完成。选中可疑文件或文件夹后，点击右键，选择菜单中的“使用 SafeW 扫描”（具体文案可能因版本略有差异，例如“用 SafeW 扫描”或“扫描威胁”）。SafeW 随即启动快速扫描，并在界面右下角弹出结果通知。若文件可信，可跳过；若判定为威胁，则提示隔离或删除。
替代路径为：打开 SafeW 主界面，点击“病毒查杀”模块下的“自定义扫描”（或“手动扫描”），通过文件选择器定位目标。相比右键菜单，自定义扫描允许同时选择多个不连续的文件，并可在扫描前设置“扫描压缩包”“扫描网络共享”等高级参数。
经验性观察： 右键菜单对单个文件或文件夹最方便，但若需批量扫描大量文件（超过100个），建议使用自定义扫描，以避免资源管理器卡顿。具体阈值因硬件配置而异，可在测试环境下验证。
macOS 平台
macOS 版本的操作路径与 Windows 类似：在 Finder 中右键文件，选择“服务”下的“使用 SafeW 扫描”（该选项可能位于系统服务子菜单）。若未出现此选项，请确认 SafeW 的“系统扩展”已正确安装并获得了用户授权（路径：系统偏好设置 → 安全性与隐私 → 隐私 → 文件与文件夹）。
替代路径：打开 SafeW 主界面，点击“扫描”标签页，选择“自定义扫描”，然后拖拽文件到窗口，或通过文件对话框添加。在 macOS 下，拖拽操作最为直观，也支持同时拖入多个文件。
移动端（Android / iOS）
在 Android 上，手动查杀通常通过文件管理器或 SafeW 应用内的“文件扫描”入口实现：打开 SafeW，点击“病毒查杀”下的“文件扫描”，然后浏览目录。部分 Android 版本还支持分享功能：在文件管理器中长按文件，选择“分享”，再选取 SafeW 即可跳转至扫描界面。
提示： 由于 iOS 系统限制，SafeW 无法直接访问用户文件系统。手动查杀需通过“文件”App 分享或 AirDrop 上传至 SafeW 服务器进行临时分析，结果仅保留有限时间（通常为24小时）。在合规场景下，建议在文档中注明 iOS 分析记录的时效性。
手动查杀背后的检测机制
SafeW 对手动提交文件的分析，综合运用了以下三类核心技术：
- 启发式分析： 根据代码结构、行为模式、API 调用序列等特征赋予风险评分，不依赖具体签名，从而识别未知变种。
- 云端查杀： 将文件哈希与多引擎结果进行比对，并利用社区反馈动态更新黑白名单。若文件从未公开出现过，即使没有签名，也可上送至云端沙箱进行深度分析。
- 行为模拟（轻量沙箱）： 在受控环境中预执行样本，观察注册表修改、网络连接、文件写入等动作，以此判定恶意概率。
这三种能力的组合，使手动查杀能覆盖绝大多数 未知威胁。但需注意：任何基于统计模型的启发分析都存在误报（过杀）或漏报的可能。因此，手动查杀的最终结论应仅作为参考，用户需结合文件来源、信誉度、行为表现等多重信息做出处置决策。
合规与数据留存：审计日志的配置与验证
以合规为主线，SafeW 的每一次手动查杀都会在本地和云端（若开启）生成一条日志记录。默认情况下，日志包含以下关键信息：
- 扫描时间戳（精确到秒）
- 文件路径与文件名（绝对路径）
- 文件哈希值（SHA-256 或 MD5，版本不同有所差异）
- 检测引擎返回的威胁类型（例如：Trojan.GenericKD.XXXXX、Heur.Unknown）或“安全”状态
- 操作结果（删除、隔离、允许、未处理）
- 触发方式（手动扫描 vs 实时防护）
如何查看日志： 打开 SafeW 主界面，进入“保护记录”或“日志中心”模块（名称因版本而异，常位于“设置”或“工具”下）。可按照时间范围、操作类型、文件路径进行筛选。部分版本还提供“导出为 CSV 或 PDF”功能，便于存档或提交审计。
提示： 若组织要求保留日志的时间超过默认期限（通常为90天），请在 SafeW 设置中调整“日志保留天数”以满足合规需求。具体路径为：设置 → 记录与报告 → 保留策略。修改后务必点击“保存”，并验证新日志是否能够正确覆盖旧日志。
验证示例： 手动扫描一个测试文件（例如 EICAR 测试文件），并记录扫描时间。随后立即进入日志中心，按时间降序排列，确认刚刚的手动扫描记录出现，且文件哈希与源文件一致。若日志缺失，请检查是否开启了“仅记录威胁”选项（部分版本默认不记录“安全”结果）。在合规场景下，建议设置为“记录所有扫描”。
日志的完整性挑战
经验性观察：在极高频率的扫描场景下（如每秒超过10次），SafeW 本地数据库可能因 I/O 压力而丢失日志条目。建议在大量手动扫描前，先进行模拟测试（例如连续扫描100个小文件），检查日志是否完整。若发现缺失，可考虑降低扫描并发数，或升级至企业版（如有集中日志上报功能）。此结论基于用户社区反馈，并非官方承诺。
例外与取舍：哪些场景不应使用手动查杀
尽管手动查杀功能强大，但它并非适用于所有场景。在以下情况中应谨慎使用或完全避免：
- 系统关键文件： 扫描 C:\Windows\System32 内的文件可能导致误报后误删，从而破坏系统稳定性。SafeW 默认排除系统目录，但手动指定时，请确认已开启“排除系统文件”选项。
- 加密或受保护文件： 使用 BitLocker 或 EFS 加密的文件，在扫描前需先解密，否则 SafeW 仅能检测到密文，无法分析实际内容。
- 超大文件： 超过 2GB 的可执行文件可能因内存限制而跳过行为模拟，仅做哈希比对，这会显著增加漏报风险。
- 合规审计要求极高的场景： 若需对每个扫描结果进行司法鉴定，建议使用专用取证沙箱，而非消费级安全软件。SafeW 的手动查杀结果应视为辅助证据，需配合文件完整性校验、时间戳等一同使用。
此外，手动查杀会占用可观的系统计算资源（CPU 占用率可能在 30%~80% 之间，具体取决于文件复杂度）。建议在系统空闲时段进行操作，或利用 SafeW 的计划任务功能批量提交。
与 SafeW 其他功能的协同
手动查杀并非孤立功能。它可以与 SafeW 的“隔离区”“信任列表”“实时防护”等模块协同工作：
- 手动扫描检测到的威胁会自动进入隔离区（可在设置中指定是否进行加密隔离）。
- 若用户信任某个被误报的文件，可右键选择“添加信任”，此后实时防护和手动扫描都将忽略该文件（基于路径或哈希）。
- 扫描后若需要提交样本给 SafeW 实验室，可在结果页点击“误报反馈”或“样本提交”链接（需联网）。
遵循权限最小化原则：在协同操作中，隔离区应只保留必要的威胁文件，避免堆积过多无害样本。建议定期清理隔离区（例如每月一次），同时保留日志以备审计使用。
故障排查：手动查杀常见问题
现象1：右键菜单没有“使用 SafeW 扫描”
可能原因： SafeW 外壳扩展未正确安装或被禁用。验证方法：打开 SafeW 设置 → 集成 → 资源管理器右键菜单，检查开关是否开启。若已开启但仍不显示，请尝试修复安装：控制面板 → 程序和功能 → SafeW → 更改 → 修复。重启资源管理器（或重启系统）后再次检查。
现象2：扫描过程中软件无响应或长时间卡住
可能原因： 文件过大，或存在恶意代码导致行为模拟过程陷入死循环。处理方法：在 SafeW 设置中将“扫描超时”调整为较短时间（例如60秒），或对疑似文件先上传至云沙箱（通过 SafeW 主界面的“提交样本”功能）。经验性观察：对于超过500MB的可执行文件，采用哈希比对加云端查杀即可，无需进行本地行为模拟。
现象3：手动扫描结果与实时防护结论不一致
可能原因： 云端特征库更新存在滞后，或实时防护使用了不同的检测引擎（轻量版 vs 完全版）。SafeW 的实时防护可能为降低资源消耗而使用精简引擎，而手动扫描则会调用完整引擎。验证方式：在设置中查看“检查引擎版本”，确保两者一致。若不一致，可尝试重启 SafeW 服务或手动更新病毒库。
适用与不适用场景清单
| 场景 | 推荐使用手动查杀？ | 理由 |
|---|---|---|
| 从不可信来源下载的单个可疑文件 | 是 | 快速确认威胁，结果可记录 |
| 企业内部共享文件夹批量扫描 | 视情况 | 建议使用计划任务或脚本调用 CLI 接口，而非逐个右击 |
| 已确认安全的开发代码文件 | 否 | 无此必要，浪费资源并可能引发误报 |
| 审计合规需要保留所有扫描记录 | 是（需调整日志策略） | 手动扫描产生的日志更完整，便于追溯 |
| 处理系统核心文件 | 否 | 风险过高，可能破坏系统稳定性 |
最佳实践清单
- 先验证再删除： 对未知威胁，优先选择“隔离”而非“删除”。在隔离后观察系统是否出现异常，确认无误后再清空隔离区。
- 日志先行： 在手动扫描前，确认 SafeW 日志策略已设置为“记录所有扫描”，并定期备份日志文件。
- Hash 校验： 保存扫描到的文件哈希值，并与日志中的 hash 字段核对，确保数据一致性。
- 避免高峰时段： 在服务器或生产力设备上，应避开 CPU 高负载时段执行手动扫描，以免影响业务。
- 使用白名单排除误报： 若确信文件安全，请通过“信任列表”进行排除，避免重复扫描影响系统性能。
- 定期测试： 每季度使用 EICAR 测试文件验证手动查杀路径和日志记录是否正常工作。
常见问题（FAQ）
Q1: 手动查杀的结果可以当作法律证据吗？
Q2: 为什么有些文件手动扫描显示“安全”，但上传到第三方检测平台却报毒？
Q3: 手动扫描过的文件是否会留下记录供后续审计？
Q4: 能否通过命令行或 API 触发手动扫描？
Q5: 手动查杀是否会影响系统性能？
总结与下一步行动
SafeW 的手动查杀功能为用户提供了对抗未知威胁的主动手段，同时也为合规审计奠定了数据基础。核心建议是：将手动查杀视为自动化防护的补充而非替代；每次操作都应留下可审计的记录；对于敏感文件，优先隔离而非直接删除。未来版本中，手动查杀与自动化策略的协同可能更加紧密，例如根据文件信誉度触发不同深度的扫描。当前而言，建议您立即检查当前 SafeW 版本下的日志保留策略，并执行一次测试扫描以验证记录完整性，确保所有合规要求得到满足。