不常驻、不加壳、不混淆：流氓软件克星的9条安全边界，为什么“不做什么“比“做什么“更重要

流氓软件克星（RogueCleaner）是一款专门清理 Windows 流氓右键菜单、开机自启动、计划任务、后台服务、浏览器插件和文件关联残留的免费小工具。很多用户下载清理类工具时，第一反应不是"它能扫什么"，而是"它自己会不会搞破坏"。这个项目给出了一份很实在的答案——9 条明确的安全边界。

流氓软件克星到底管什么事

先说它"做什么"，边界才好理解。流氓软件克星 v2 是 C# WinForms 单文件程序，双击 exe 就能运行，不用装、不用解压、不依赖外部脚本。它多线程扫描这些位置：

• 资源管理器右键菜单和常见 Shell 扩展
• "此电脑"、导航栏里的网盘/同步入口图标
• 开机启动注册表和启动文件夹
• Windows 后台服务与计划任务
• Chrome / Edge / Firefox 扩展策略和 Native Messaging Host
• 图片、视频、压缩包、Office 文档等文件关联残留
• 隐藏、不可移除、没有卸载命令的可疑卸载项

扫描结果不说注册表黑话，而是用人话告诉你四件事：在哪里冒出来、用户会看到什么、有什么影响、工具会怎么处理。列表展示逻辑见 src/v2/RogueCleanerV2.cs。

但真正值得细读的，是它公开承诺"不做什么"。

9 条安全边界完整清单

完整的"原则"清单写在 README.md 末尾，逐条拆解如下：

一、"不藏"的三条：让你查得明明白白

这三条针对的是清理工具最常见的信任问题：很多同类小工具靠"藏起来"实现功能，结果连安全软件都无法判断它到底在干什么。v2 从架构上就堵死了这条路，设计依据见 2026-07-20-v2-single-file-design.md 的"单文件和杀软信任"一节——运行时不再依赖RogueCleaner.ps1、rules目录或任何外部 sidecar 文件。

二、"不越权"的三条：不替用户做决定

配套的控制动作也很克制：扫描结果默认不勾选，"勾选可清理"按钮不会勾上"仅提示"类项目；疑似捆绑/弹窗/守护组件即使有卸载命令，也只是弹出原厂卸载器让你自己点确认，绝不冒充用户点击。这套边界在验收记录中被逐条验证过，见 2026-07-20-v2-acceptance.md。

三、"不乱删"的三条：宁可少删，不可误删

第 9 条其实是整套流程的核心：备份 → 清理 → 逐项复核 → 自动复扫，任何一步失败都不会被显示为"完成"。清错了也不怕，恢复中心支持按批次整批回滚注册表、被移动文件、服务启动状态和计划任务状态，且恢复也是逐项执行、逐项复核。恢复中心的界面文案本身就说明立场——"这里放的是清理前备份，恢复前看清批次，恢复后建议重新扫描一次"。

为什么"不做什么"比"做什么"更重要

对杀毒、清理类工具来说，能力上限决定"好不好用"，而行为下限决定"敢不敢用"。流氓软件克星的设计把"下限"写成了硬性规则：

1. 可验证，而不是口头承诺。每条边界都能在仓库里找到对应实现和回归测试，比如--identity-smoke参数专门验证 Corel GUID 中偶然出现2345、系统宿主msiexec.exe签名等场景下不会误认厂商，见 2026-08-04-vendor-identity-false-positive-design.md。
2. 宁可少删，也不乱删。厂商身份不足时结果只显示"未知第三方／仅提示"，不允许进入一键清理链；系统svchost托管的原生服务不进清理列表；默认打开程序这类日常项只提示。
3. 误报靠透明解决，不靠加壳解决。项目明说不会通过加壳、改壳、绕过杀软来"解决"误报，而是提供直出 EXE + 源码包 + SHA256 校验文件让你自己核对，详见 火绒误报回复.md。

一句话总结：扫描范围再大，用户敢用才是真本事。把"不做什么"列成明文清单，并让每一条都能被源码和校验值验证，这就是流氓软件克星给出的答案。

下载与自查指南

📥获取方式：下载直出RogueCleaner-v2.0.12-*.exe，用同批次SHA256SUMS-v2.0.12-*.txt核对文件哈希；想审查的可以直接看 src/v2/ 源码或用 Build-Exe.ps1 自行编译：

powershell -NoProfile -ExecutionPolicy Bypass -File .\Build-Exe.ps1

✅收到杀软提示怎么办：先核对来源和 SHA256，再决定是否按误报提交给杀软厂商。该工具会读取、备份、删除注册表项并禁用服务和计划任务，被启发式规则归入"系统工具类风险"是正常现象。

💡使用小建议：涉及 HKLM、服务、计划任务的项目，点界面"管理员模式"重新打开；清理后若显示"处理后仍有残留"，那多半是软件自保护在重建，工具不会假装成功，这类项会留在复扫列表里等你处理。

总结：判断一个清理工具靠不靠谱，别只听它"能删什么"，看它"承诺不做什么"以及这些承诺能否被验证。流氓软件克星的 9 条安全边界——不常驻、不加壳、不混淆、不静默更新、不绕过自保护、不改写UserChoice、不默认卸载主程序、不删除用户文档、先备份再清理后复扫——就是这类工具该有的样子。