WPS频繁篡改图片默认打开方式如何解决？

Question

WPS频繁篡改图片默认打开方式，导致用户双击图片时强制调用WPS看图打开，影响使用体验。即便手动更改为其他看图软件（如Windows照片查看器或第三方应用），重启或更新WPS后仍会被重置。该行为源于WPS安装组件中默认注册其看图功能为图像格式（如JPG、PNG）的首选程序，并在后台服务中持续监控和恢复关联。如何彻底阻止WPS劫持图片默认打开方式，成为困扰用户的常见问题。

Answer 1

一、问题背景与现象分析

近年来，WPS Office 在国内办公软件市场中占据重要地位，但其捆绑组件“WPS看图”频繁篡改系统图片默认打开方式的行为引发了大量用户不满。具体表现为：用户将JPG、PNG等图像格式的默认程序更改为Windows照片查看器或IrfanView等第三方工具后，重启系统或WPS自动更新后，关联再次被重置为WPS看图。

该行为并非偶然，而是源于WPS安装包中默认注册了对多种图像格式（如 .jpg, .png, .bmp, .gif）的协议处理权，并通过后台服务（如 WPSUpdate.exe 或 WPS Cloud Service）持续监控和恢复文件关联。这种“劫持”机制本质上是一种推广策略，但从用户体验角度看，严重干扰了用户的操作自由。

二、技术原理剖析：WPS如何劫持默认程序

要彻底解决此问题，需深入理解其底层机制。以下是WPS实现默认程序劫持的主要技术路径：

1. 注册表劫持：安装时修改 HKEY_CLASSES_ROOT\.jpg 等键值，将其指向 WPS 自定义的 ProgID（如 WPS.Image.JPEG.1）。
2. AppX关联注册：在 Windows 10/11 中，通过添加现代应用（Modern App）的协议处理程序，影响“设置-应用-默认应用”界面。
3. 后台服务守护进程：WPS 启动服务（如 WPS Cloud）定期扫描并重写注册表中的文件类型关联。
4. 计划任务触发重置：部分版本创建计划任务，在系统启动或登录时执行脚本恢复默认设置。

机制	注册位置	触发频率	检测方式
注册表关联	HKEY_CLASSES_ROOT\.{ext}	安装/更新时	regedit 查看
ProgID 设置	HKEY_CURRENT_USER\Software\Classes\Applications\wpsphoto.exe	每次启动	命令行 assoc/fassoc
服务监控	services.msc 中 WPS 相关服务	持续运行	任务管理器/Process Monitor
计划任务	Task Scheduler → WPS Folder	登录/重启	schtasks /query
组策略注入	仅企业版可能存在	策略生效时	gpedit.msc

三、解决方案层级演进：从表层到根治

针对上述机制，可构建多层级防御体系，按深度递进如下：

1. 表层修复：手动重设默认应用

适用于临时恢复，但易被覆盖。

控制面板 → 默认程序 → 设置默认程序  
或：设置 → 应用 → 默认应用 → 按文件类型指定默认应用

2. 中级干预：禁用WPS关联服务

阻止其后台守护进程运行：

# 停止并禁用服务
sc stop "WPSUpdate"
sc config "WPSUpdate" start= disabled

# 查询相关服务
sc queryex type= service | findstr -i wps

3. 深度防御：注册表权限锁定

通过修改注册表项权限，防止WPS写入更改：

1. 打开 regedit，导航至：
   HKEY_CLASSES_ROOT\.jpg 和 HKEY_CLASSES_ROOT\.png
2. 右键 → 权限 → 高级 → 更改所有者为当前用户
3. 移除 SYSTEM 和 TrustedInstaller 的写入权限
4. 添加拒绝规则给 WPS 进程用户（如适用）

4. 根源清除：剥离WPS看图模块

使用定制化安装或后期清理：

• 安装时取消勾选“WPS看图”、“图片查看器”等选项
• 卸载后删除残留目录：
  %ProgramFiles%\WPS Office\*\office6\wpsphoto.exe
• 重命名或删除 wpsphoto.exe 防止调用

5. 系统级防护：使用Group Policy或Intune策略（企业场景）

适用于IT管理员统一管控：

# 示例：通过 PowerShell 锁定默认应用
Dismount-DiskImage -ImagePath "C:\DefaultApps.xml"
Set-Content -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System" -Name "EnableMUI" -Value 0

四、自动化检测与防御流程图

graph TD A[用户双击图片] --> B{是否调用WPS看图?} B -- 是 --> C[检查默认程序设置] C --> D[查询注册表 HKEY_CLASSES_ROOT\.{ext}] D --> E[检测 WPS 服务是否运行] E --> F[停止 WPSUpdate 服务] F --> G[重设默认应用为照片查看器] G --> H[锁定注册表权限] H --> I[删除 wpsphoto.exe 或重命名] I --> J[创建计划任务定期校验] J --> K[完成防御闭环] B -- 否 --> L[维持当前配置]

五、长期维护建议与最佳实践

为确保问题不复发，建议采取以下措施：

• 更新策略：避免使用在线安装包，选择离线静默安装并剔除非必要组件。
• 监控工具：部署 Process Monitor 或 AutoRuns 检测异常注册表写入。
• 镜像标准化：企业环境中制作干净系统镜像，预设默认应用策略。
• 用户教育：告知员工不要随意允许软件修改系统默认设置。
• 替代方案：评估使用 OnlyOffice、LibreOffice 等无捆绑行为的办公套件。
• 日志审计：启用 Windows Event Log 监控 AppX 关联变更事件（Event ID 10016）。
• 脚本化治理：编写 PowerShell 脚本每日检查关键文件类型关联状态。
• 防火墙限制：阻止 WPS 相关进程访问特定系统API（高级场景）。
• 沙箱测试：新版本上线前在隔离环境验证其行为影响。
• 反馈机制：向金山官方提交用户体验报告，推动产品改进。