Clash Verge Rev 安装被 Windows Defender 拦截处理

双击安装包，Windows Defender 弹出一个红色警告：“已阻止威胁”，安装程序还没跑起来就被删了。或者装好之后用了一段时间，某天打开软件发现内核文件不见了，任务管理器里看不到进程，Defender 的保护历史记录里躺着一个被隔离的 mihomo-windows-amd64.exe。这两种情况都是 Windows Defender 的启发式扫描在拦截 Clash Verge Rev。不是文件有问题，是它的行为特征撞上了 Defender 的敏感规则。这篇排错指南针对 Clash Verge Rev Windows Defender 拦截 的情况，按“现象 → 原因 → 方案”的顺序，把从隔离区恢复文件到添加永久白名单的完整流程讲清楚。

01. Clash Verge Rev Windows Defender 拦截的三种典型表现

Windows Defender 对 Clash Verge Rev 的拦截通常以三种形式出现，对应的处理入口不同。

第一种是安装阶段被拦截。双击 x64-setup.exe 后，Defender 弹出“Windows 已保护你的电脑”提示，或者直接报出“发现威胁”并将安装文件隔离。安装程序还没进入向导界面就被终止，程序目录下找不到任何文件。

第二种是运行阶段内核被隔离。软件安装成功，正常使用过一段时间，某次启动后发现代理不工作，检查发现 mihomo-windows-amd64.exe 被 Defender 删除或隔离。GitHub Issue 中有用户反映 Defender 将 Clash 核心识别为 HackTool 或 Proxy 类型威胁并自动隔离。这种情况下软件界面能打开，但内核通信失败，代理页面显示异常。

第三种是 TUN 模式被防火墙拦截。启用 TUN 模式后，Clash Verge Rev 需要监听 0.0.0.0:7897 来接收连接，Windows Defender 防火墙会弹出网络访问授权提示。如果用户在弹窗中点了“取消”，或者防火墙规则没有正确创建，局域网设备无法访问代理，TUN 模式的实际效果也受限。

02. 为什么 Defender 会误报 Clash Verge Rev

理解误报根源有助于判断后面的操作是否合理。Defender 的拦截不是认为 Clash Verge Rev 真的是病毒，而是它的行为模式触发了启发式扫描的警报。

Mihomo (Clash.Meta) 内核基于 Go 语言编写，其流量转发逻辑与某些恶意软件的通信特征存在重叠。代理工具在建立 TUN 虚拟网卡、修改系统路由表时，会触发 Defender 的“可疑网络活动”检测。Mihomo 内核的增强功能，比如规则路由和 DNS 拦截，进一步增加了被误判为后门程序的概率。

另一个因素是缺乏商业数字签名。开源项目通常没有购买代码签名证书，安装包和可执行文件没有 Authenticode 签名。Defender 对未签名文件的安全策略更严格，同一种行为模式出现在签名软件中可能被放过，出现在未签名文件中就会被拦截。

Clash Verge Rev 当前最新稳定版 v2.5.2 采用 GPL-3.0 协议开源，代码在 GitHub 仓库公开可审查。误报不影响软件本身的安全性，但如果不处理，每次运行都会触发拦截。

03. 从隔离区恢复被删除的文件

如果 Defender 已经将文件隔离或删除，第一步是把文件找回来。

打开“Windows 安全中心”，进入“病毒和威胁防护”，点击“保护历史记录”。在列表中找到与 Clash Verge Rev 或 mihomo 相关的条目，展开后选择“还原”或“允许在设备上”。如果文件已经被彻底删除无法还原，需要从 Clash Verge Rev 下载页面重新下载安装包。

还原之后不要直接双击运行，先完成第 04 节的白名单添加，再重新启动软件。否则 Defender 在下一轮扫描中会再次隔离同一个文件。

04. 添加白名单的三种路径

让 Defender 永久放行 Clash Verge Rev，有三种操作路径，按你的 Windows 版本和操作习惯选择。

路径一：安全中心图形界面

适合家庭版用户。按 Win + I 打开设置，进入“隐私和安全性 > Windows 安全中心 > 病毒和威胁防护 > 管理设置”。向下滚动找到“排除项”，点击“添加或删除排除项”，依次添加：

• 文件夹排除：选择 Clash Verge Rev 的程序安装目录（如 C:\Program Files\Clash Verge）和配置目录 C:\Users\用户名\.config\clash-verge\
• 文件排除：单独添加 clash-verge.exe 和 mihomo-windows-amd64.exe

建议把程序目录和配置目录都加进去，只加程序目录的话，Defender 可能在扫描订阅文件时再次触发拦截。

路径二：PowerShell 管理员命令

适合需要批量配置或多台机器部署的场景。以管理员身份打开 PowerShell，执行以下命令：

Add-MpPreference -ExclusionPath "C:\Program Files\Clash Verge"
Add-MpPreference -ExclusionPath "$env:USERPROFILE\.config\clash-verge"
Add-MpPreference -ExclusionProcess "clash-verge.exe"
Add-MpPreference -ExclusionProcess "mihomo-windows-amd64.exe"

执行完成后可以验证排除项是否生效：

Get-MpPreference | Select-Object -Property ExclusionPath, ExclusionProcess

路径三：本地组策略编辑器

适合 Windows 专业版和企业版。按 Win + R 输入 gpedit.msc，导航至“计算机配置 > 管理模板 > Windows 组件 > Microsoft Defender 防病毒 > 排除项”，启用“排除路径”策略并填入 Clash Verge Rev 的目录路径。配置完成后在命令行执行 gpupdate /force 刷新策略。

05. TUN 模式下的防火墙放行

添加了 Defender 白名单之后，TUN 模式可能仍然不工作，原因是 Windows Defender 防火墙独立于病毒防护模块，需要单独配置。

当 Clash Verge Rev 首次以管理员身份启动并开启 TUN 模式时，防火墙会弹出“允许应用通过防火墙”的提示。选择同时勾选“专用网络”和“公用网络”，然后点击“允许访问”。如果错过了这个弹窗，可以手动添加：

打开“Windows 安全中心 > 防火墙和网络保护 > 允许应用通过防火墙”，点击“更改设置”，找到 Clash Verge Rev 或手动浏览到程序路径，确保专用和公用两个复选框都勾选。

如果 TUN 模式开启后立即闪退，通常是 Defender 拦截了虚拟网卡驱动的加载。确认第 04 节的白名单已包含程序目录，并以管理员身份运行 Clash Verge Rev 再试一次。部分系统还需要在“防火墙和网络保护”中放行 Clash 的 TUN 网卡接口。

06. 第三方杀毒软件的处理差异

Windows Defender 之外，部分用户同时安装了第三方安全软件，处理方式有所不同。

火绒安全：进入“安全设置 > 病毒防护 > 信任区”，添加 clash-verge.exe 和 mihomo-windows-amd64.exe 到信任列表。火绒的“自定义防护”功能如果开启了规则编写，需要额外放行 Clash 对配置目录的读写操作。

360 安全卫士：360 的“驱动防护”模块最容易拦截 TUN 模式所需的虚拟网卡驱动。进入“安全设置 > 信任区”添加程序目录，同时在“防护中心”中暂时关闭“驱动防护”，等 TUN 模式运行正常后再评估是否恢复。

卡巴斯基：GitHub Issue 中有用户报告卡巴斯基将 Clash 标记为 MEM:Trojan.Win32.SEPEH.gen。卡巴的“信任应用程序”设置中需要添加程序目录和进程，并选择“不扫描网络流量”。

一个容易忽略的点是：即使添加了 Defender 白名单，Defender 的“自动提交样本”功能仍可能将文件上传到云端重新判定，覆盖本地排除项。可以在“病毒和威胁防护设置”中关闭“自动提交样本”，减少云端检测的干扰。

完成 Defender 拦截处理后，如果遇到启动报错找不到系统文件或代理菜单空白的情况，可以参考 常见问题页面继续排查。TUN 模式的完整配置和权限授权流程，见 TUN 模式完全指南。