Win悄悄记下载源！一条命令查文件来历

大家平时用电脑，常碰到打开下载文件时弹出的提示：“此文件来自其他计算机，可能被阻止”。这不禁让人好奇，Windows到底是怎么知道文件从哪来的？其实，背后有一套专门的机制在起作用。 Windows系统靠一个叫Mark of the Web的东西来追踪下载文件的来源。

说白了，就是给文件打个标签，告诉操作系统这玩意儿需要多查查底细，确保安全。 文件一旦从网上或者别的不太靠谱的地方弄下来，Windows就会给它附上来源信息。之后，系统和相关软件就能根据这个标签，决定要不要弹警告，或者加些额外限制。

想快速看看文件有没有被打标，最简单的方法是右键点开属性。在常规选项卡的底下，留意下有没有安全警告，还有那个“解除阻止”的勾选项。一旦勾上再点确定，标记就被抹掉了，之前的警告和限制也就跟着没了。 要是想挖得更深一点，就得去翻NTFS备用数据流里的Zone.Identifier了。

具体操作也不难，就在文件所在的文件夹里，打开命令行或者PowerShell，输入notepad 文件名:Zone.Identifier回车。只要文件带着标记，记事本就会弹出一个小小的文本窗口。 里面通常能看到几个关键字段：ReferrerUrl指的是把你引到下载页面的网址，HostUrl则是文件真正下载下来的地方，ZoneId是个安全区域的编号。

这些字段能帮你搞清楚文件的完整身世。 不过得提醒一句，并不是每个文件都有全套字段。具体有啥，全看当初是哪个浏览器或者软件创建的标记，各家习惯不一样。 ZoneId的数字也有讲究，代表了不同的安全等级。

0是本机，1是局域网，2是受信任站点，3是互联网，4是受限站点。所以，只要看到ZoneId等于3，就说明Windows认定这文件是从外网拉过来的。 最后还有个坑要注意，文件没这个标记，不代表它就不是从网上下的。

万一文件被拷到了不支持这种数据流的硬盘格式上，或者被某些不保留标记的软件解压过，又或者被人手动解除了阻止，这些信息就全丢了。