SkyDriveapp 整体还原——OneDrive 一键回到正常时间点
什么时候需要整体还原
整体还原（OneDrive restore）不是日常操作。它的使用场景非常明确：
- 勒索软件攻击后：本地和云端文件被加密
- 误操作后大面积损坏：批量重命名、批量覆盖文件等
- 账户被入侵后：攻击者破坏了云端内容
不要在以下情况使用：
- 单个文件改错 → 用版本历史恢复
- 单个文件误删 → 用回收站恢复
- 只想回退某个文件夹 → 整体还原影响太大
整体还原能做什么
- 把你的整个 OneDrive 云端整体回退到某个时间点
- 所有文件、文件夹、共享链接都会回到那个时间点的状态
- 还原后那个时间点之后的所有更改会丢失
还原前的准备工作
一、确定需要还原
收到勒索警告后，先确认：
- 是不是自己或家人在批量操作文件（排除误报）
- 杀毒软件是否已清除本地恶意软件
- 本地 OneDrive 同步是否已暂停（避免被加密的文件继续同步上去）
二、找一台安全设备
整体还原必须在 OneDrive 网页端操作。请使用：
- 一台未被感染的电脑
- 或手机浏览器访问 OneDrive.com
不要用已中毒的电脑操作——即使还原成功，病毒还在本地会继续加密新同步下来的文件。
三、选好还原时间点
还原前在脑海中确定：
- 攻击大概是什么时候发生的
- 那个时间点之前 1-2 小时是最安全的还原目标
- 还原点之后创建的文件会被删除，确认没有特别需要保留的
执行整体还原（网页端）
步骤
- 用安全设备浏览器访问 OneDrive.com
- 登录你的 Microsoft 账户
- 如果收到勒索警告横幅，点击「还原」按钮直达还原页面
- 如果没有警告但想手动还原：
- 左侧导航栏点击「设置」图标 → 「选项」→ 「还原 OneDrive」
- 或直接访问
OneDrive.com/restore
选择还原点
还原页面显示一个时间轴：
- 系统推荐一个最佳还原点（基于异常检测）
- 可以在时间轴上拖动滑块选择任意日期和时间
- 滑块右侧显示该时间点的文件数量、最近活动
- 拖动时注意：蓝色区域 = 系统检测到异常的时间段，避开它
还原前预览
在点击还原之前：
- OneDrive 会显示目标时间点的文件结构预览
- 确认这看起来合理（文件没有突然全没了）
- 如果有特别重要且在还原点之后创建的文件，记下文件名——还原后它们会消失，需要从本地备份或其他地方找回来
确认还原
点击「还原」按钮后：
- 操作立即开始，没有回头路
- 还原过程从几分钟到几小时不等（取决于文件总量）
- 期间可以关闭页面，OneDrive 在后台继续
- 还原完成后会收到邮件通知
还原后本地怎么办
云端还原成功后，本地 OneDrive 文件夹可能还是被加密的状态。接下来：
第一步：重启 OneDrive 同步
如果之前为了防止同步被加密文件到云端而暂停了同步：
- 右键系统托盘云朵图标 → 恢复同步
第二步：让云端正常版本覆盖本地
OneDrive 客户端检测到云端已还原后，会自动同步：
- 本地被加密的文件会被云端的正常版本覆盖
- 已删除的云端文件会在本地被删除（还原点之后创建的文件）
- 如果本地文件有与云端不同的更新，OneDrive 可能提示冲突
第三步：清理本地残留
还原后检查：
- 本地 OneDrive 文件夹是否已经恢复到正常状态
- 是否有残留的加密文件（加密文件通常扩展名被改过）
- 如果还有，手动删除残留文件让 OneDrive 重新同步
还原的限制与副作用
保留期限限制
- 整体还原只能回到过去 30 天内的时间点
- 超过 30 天的历史已经被系统清理，无法还原
还原点之后的创建全部丢失
- 还原时间点之后新建的所有文件会被删除
- 还原时间点之后新建的共享链接会失效
- 如果那个时间段创建了特别重要的文件，先手动备份
个人保管库也会一起还原
个人保管库内的文件也会被还原。这通常是你想要的效果，但要知道这一点。
还原后安全加固
还原完成后不要松懈，还需要：
- 确认病毒已清除：用 Defender 或其他杀毒软件全盘扫描
- 检查账户安全：account.microsoft.com → 安全 → 更改密码 → 确保两步验证开启
- 删除可疑登录设备：检查已登录设备列表，移除陌生设备
- 更新系统补丁：Windows 设置 → Windows 更新 → 检查并安装所有补丁
- 关闭不必要的共享链接：之前可能被攻击者利用的分享入口
免费账户不支持
重要：免费 Microsoft 账户没有一键还原功能。如果你是免费账户但收到勒索警告，只能靠普通回收站和 Office 文档的版本历史手动恢复。强烈建议存储重要文件的用户升级到 Microsoft 365。