用 Rufus 与 unattend.xml 实现 Windows 无人值守安装的完整指南
【免费下载链接】rufusThe Reliable USB Formatting Utility项目地址: https://gitcode.com/GitHub_Trending/ru/rufus
Rufus 是做 Windows 启动 U 盘的免费工具，它的 unattend.xml 应答文件机制能自动完成分区、建账户和隐私设置，还能帮你绕开 TPM 和微软账户登录，实现 Windows 无人值守安装。
这个文件是什么
可以把 unattend.xml 理解成安装过程的"自动驾驶脚本"。
Windows 安装程序一启动就会找这份脚本。找到了，就照着里面写好的步骤一路执行：选盘、分区、设时区、建账户，全程不用人盯着。
文件内部按安装阶段分块组织：windowsPE 管开机前的初始环境，specialize 做系统特化配置，oobeSystem 负责首次启动时的账户设置，offlineServicing 则处理离线状态下的磁盘与安全策略。
Rufus 如何生成这份文件
Rufus 的"Windows User Experience"选项组里每个复选框，在代码中都是一个位掩码开关，定义在 src/wue.c 里。你勾选哪几项，CreateUnattendXml 函数（src/wue.c 第108行）就按这个组合拼装对应的 XML 段落，没勾的选项根本不会写进文件。
生成之前，Rufus 还会先弄清你要装的是哪一版 Windows。它从 ISO 的 WIM 索引里读出 NT 版本号，再换算成大家熟悉的叫法：NT 6.1 是 Windows 7，6.2/6.3 是 Windows 8 和 8.1，10.0 是 Windows 10，而 10.0 且 build 大于 20000 的则识别为 Windows 11（逻辑见 src/wue.c 第675行）。不同版本启用的策略不一样，比如 S Mode 和跳过微软账户这两项互斥，就是靠版本号区分后处理的。
文件生成后放哪，取决于安装类型。如果内容里有 windowsPE 段落，Rufus 会把它作为 Autounattend.xml 写进 boot.wim 根部，UEFI 启动时会被自动加载；没有 windowsPE 段落时，就放到 \sources$OEM$$$\Panther\unattend.xml，等系统文件复制阶段被搬进 %WINDIR%\Panther；做 Windows To Go 镜像时，则直接放进 \Windows\Panther\。
如果 ISO 里本来就带了一份应答文件，Rufus 会在日志里给出 NOTICE 提示（src/rufus.c 第1696行）而不是盲目覆盖；TPM 绕过也是同样思路——优先直接改离线注册表，失败才回退到应答文件方式。
文件里到底写了什么
早期阶段：绕过 TPM、SecureBoot 和内存检查
这一组配置针对的是 Windows 11 的硬件门槛。Rufus 在 windowsPE 段落里写入三条注册表命令，往 HKLM\SYSTEM\Setup\LabConfig 下设置三个值：
reg add HKLM\SYSTEM\Setup\LabConfig /v BypassTPMCheck /t REG_DWORD /d 1 /f reg add HKLM\SYSTEM\Setup\LabConfig /v BypassSecureBootCheck /t REG_DWORD /d 1 /fBypassRAMCheck 同理，内存不够的机器也能通过检查。顺带一提，做 11 的原位升级时，Rufus 还会把 sources\appraiserres.dll 改名占位，堵住升级路径的硬件校验。
特化阶段：跳过微软账户强制登录
specialize 段落的核心只有一条：在 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\OOBE 下写 BypassNRO=1。
效果就是安装到"让我们帮你登录"那一步时，允许你直接创建本地账户，不用联网注册微软账户。注意这项和强制 S Mode 互斥，同一份文件里不会两者并存。
首次启动阶段：建账户、关数据收集、同步区域设置
预设本地账户时，Rufus 先做一道校验：Administrator、Guest 这类保留名直接拒绝，非法字符会被替换成下划线。账户密码留空（文件里是一段 Base64 编码的占位值），这样首启可以自动登录，同时通过 net user /logonpasswordchg:yes 强制你在第一次登录时改密码。
数据收集对应的是 ProtectYourPC=3。这个名字起得很有迷惑性，实际只控制诊断数据级别，3 就是"仅基本诊断"，等于把默认的开箱数据上传关掉。
区域设置同步则读取当前系统的输入语言、系统区域、用户区域和 UI 语言，连同时区一起写进文件。新装的系统开机时键盘布局和时区就和你的习惯机一致，省得重新调。
上手使用与排查
四个关键选项与对应效果
| 界面选项 | 实际效果 |
|---|---|
| 绕过 TPM/SecureBoot 检查 | LabConfig 下三个 Bypass 值置 1，不兼容硬件可装 Windows 11 |
| 跳过微软账户 | BypassNRO=1，OOBE 阶段可离线创建本地账户 |
| 禁用数据收集 | ProtectYourPC=3，诊断数据降到仅基本级别 |
| 预设本地账户 | oobeSystem 写入账户名，空密码并首次登录强制改密 |
应答文件不生效时的排查步骤
- 打开日志（Ctrl+L），找到 "Selected Windows User Experience options" 段落，确认勾选的选项确实被列了出来。
- 对照日志逐条核对应答文件内容，比如绕过选项是否生成了 LabConfig 命令、账户段是否写了你的用户名。
- 检查 ISO 完整性。日志里如果出现 ISO 自带 unattend.xml 的 NOTICE，说明文件被保留原样，你勾的选项不会生效。
- 确认部署路径与安装方式匹配：UEFI 下走 boot.wim 里的 Autounattend.xml，常规 FAT32 镜像走 \sources$OEM$$$\Panther\，路径不对安装程序根本看不到这份文件。
这套机制把 Windows 部署里最烦人的环节交回给了用户：硬件门槛自己说了算，重复装机的场景几乎不用动手，老机器也能用上新版本系统。想继续深挖的话，可以从 src/rufus.c 的主流程入手，再看 src/xml.c 里 ezxml 这套 XML 解析辅助函数，整个应答文件的生命周期就完整了。
【免费下载链接】rufusThe Reliable USB Formatting Utility项目地址: https://gitcode.com/GitHub_Trending/ru/rufus
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
