简介：面向Windows Server 2012运维人员及需要部署旧版应用的管理员，这份资源包用于解决.NET Framework 3.5安装失败、无法在线获取组件的问题。包内提供完整的SxS镜像组件，可在无完整ISO或网络受限时离线启用NetFx3功能，避免依赖Windows Update。整个压缩包约101.69MB，共1569个文件，其中以720个dll运行库、180个resx资源文件、84个exe工具及66个aspx页面为主，另有config、sql、browser、targets等配置与支撑文件，目录结构完整，便于按需调用。配套的使用说明文档详细给出DISM命令及路径设置方法，帮助用户快速完成安装。资源已有10491人浏览学习，适合需要批量部署或反复安装.NET 3.5的服务器环境。
1. 装个 .NET 3.5 卡了三天：Windows Server 2012 最折磨人的组件报错
Windows Server 2012 安装 .NET 3.5，看起来只是勾一个功能框，实际操作里却有大量的人被 0x800F0906、0x800F081F 这类报错卡住。无论是"添加角色和功能"向导还是 DISM 命令，只要 .NET Framework 3.5 打了勾，系统就尝试从 Windows Update 拉组件文件；内网服务器往往等上几分钟，然后直接给你一个红色失败。这不是你操作有问题——从 Server 2012 开始，系统盘默认不再保留 .NET 3.5 的组件文件，必须通过安装镜像 sources\sxs 目录下的 CAB 包离线注入。下文会把这个坑的根因、命令和三个高频错误码一次讲透，适合被这个问题卡过一天以上的运维直接抄作业。
2. 为什么报错：0x800F0906 背后的根因，先把 2012 的特殊机制弄清楚
2.1 功能勾上了不算数：.NET 3.5 在 Server 2012 里是"按需组件"
很多人第一次装 .NET 3.5 失败后，会下意识认为是自己的安装步骤不对，或者服务器缺了什么依赖。其实 Windows Server 2012 里 .NET Framework 3.5（包含 2.0 和 3.0）是以"可选功能"形式存在的，但它的组件文件默认不在系统里。这一点和 .NET 4.x 很不一样：.NET 4.x 运行库随操作系统一起部署，你可以在功能列表里直接看到；.NET 3.5 则相当于一个"按需提供"的包，系统只知道这个功能存在，但功能文件需要安装时才从外部获取。
于是当你勾选 .NET Framework 3.5 Features 并点击安装时，系统会去请求组件文件。请求源有两个：一是 Windows Update，二是本地源（比如安装镜像的 sources\sxs 目录）。一旦系统选择了 Windows Update 而服务器又处在内网隔离环境，或者 WU 通道被策略关掉，就会报 0x800F0906。这个错误码的字面含义是"无法下载所需文件"，但根因往往不在下载本身，而在于功能文件根本没有被定位到。
我见过不少同事在这时候反复重试，甚至重启服务器，结果还是同样的报错。原因就在于：2012 之后，这个功能安装的"源"问题必须优先解决，而不是把状态刷新几遍就能过去的。理解了这一点，后面的所有操作才说得通。
2.2 联网安装为何经常失败：WU 通道、代理与策略
对于放在公网或能访问更新的服务器，直接联网装 .NET 3.5 通常能成功，但过程非常慢，因为系统需要从 WU 拉取约几十兆的组件包。而企业内网服务器常见的状态是：外层防火墙封了更新端口、WU 服务被域策略禁用、或者更新点指向了内网 WSUS 但 WSUS 尚未同步 .NET 3.5 的 payload。这三种情况都会让安装动作停在"正在搜索..."，最后超时并报 0x800F0906。
另外还有一种隐蔽情形：服务器能访问外网，但出口代理会拦截 WU 的下载请求。这时候错误码并不一定是 0x800F0906，也可能是通用失败。如果你在日志里看到 "WU client failed to download" 相关的字眼，基本可以断定问题在传输通道而不是系统组件损坏。
因此在执行任何命令之前，先判断这台服务器到底能不能走 WU，是最省时间的做法。判断方法很简单：不需要去测试浏览器上网，直接看组策略里有没有"指定可选组件安装和组件修复的设置"这一项，以及本地服务列表里 Windows Update 服务是否被禁用。如果这两个任一命中，就别让安装过程去碰 WU，直接把源指向本地 SxS 目录。
2.3 动手前先看日志：CBS.log 与 DISM.log 里藏着真正的错误码
遇到装不上的情况，先别着急换命令，打开日志确认根因。常见的两个日志文件是 C:\Windows\Logs\CBS\CBS.log 和 C:\Windows\Logs\DISM\dism.log。CBS 日志是组件服务的主日志，DISM 日志则记录了 DISM 命令的详细执行过程。用下面两条命令快速过滤关键行：
# 查看 CBS 日志尾部 200 行中与错误相关的条目 Get-Content C:\Windows\Logs\CBS\CBS.log -Tail 200 | Select-String -Pattern "0x800F|Error|Failed" # 查看 DISM 日志中最后的错误信息 Get-Content C:\Windows\Logs\DISM\dism.log -Tail 50 | Select-String -Pattern "Error|Failed|0x800F"这两条命令的作用是把你最关心的错误信息从几百上千行的日志里捞出来。CBS 日志里如果出现 "Failed to resolve package" 或者带 0x800F081F 的记录，说明系统根本没找到源文件；如果出现 "WU failed" 或 0x800F0906，说明卡在了下载阶段。日志里的错误码比界面上的弹窗更具体，也更能指导你去哪个方向排查。
我一般会在执行安装命令前记下当前时间，安装失败后立刻用上面的命令拉日志，对照时间点看系统到底在哪个环节放弃的。这样能少走很多弯路——不少人花了半天反复装，却从来不知道自己失败在哪个阶段。
3. 用 DISM --sxs 离线注入：一条命令解决 .NET 3.5 安装失败
3.1 准备工作：挂载镜像，确认 SxS 目录里有 CAB 文件
离线安装的第一步，是把安装介质准备好。常见的做法是：把 Windows Server 2012 的 ISO 挂载到虚拟光驱（比如挂载为 D:），然后找到 sources\sxs 目录。这个目录名就是大家在讨论里常说的 "--sxs"——严格来说它不是 DISM 的参数，而是源目录 sources\sxs 的简称。很多老运维说"用 --sxs 装"指的就是把 /Source 指向这个目录。
在挂载好 ISO 后，先用命令确认这个目录确实存在且包含组件包：
# 确认 sources\sxs 目录下存在 .cab 组件文件 Get-ChildItem D:\sources\sxs -Filter *.cab | Select-Object Name, Length正常情况下，你会看到名为 Microsoft-Windows-NetFx3-OnDemand-Package~31bf3856ad364e35~amd64~~.cab 这样的文件。如果这个目录不存在或为空，说明镜像被精简过了，后面所有命令都会报 0x800F081F。这一步看起来简单，但很关键：我遇到过不少人直接解压 ISO 后把 sources 目录拷到服务器，结果 sxs 子目录因为路径过长被解压工具漏掉了。
如果服务器上正好没有光驱可挂载，也可以把 ISO 解压后放到某个共享目录，然后把 /Source 指向共享路径，比如 \192.168.1.10\share\sources\sxs。需要注意共享访问权限，DISM 运行的身份（通常是 SYSTEM）要能读到该目录，这一点在后面的避坑章节还会专门说到。
3.2 核心命令：DISM /Online /Enable-Feature 配合 /Source 指向 SxS
准备工作完成之后，安装命令其实只有一条。在提升的 PowerShell 或 CMD 窗口中执行：
# 从本地 SxS 目录离线启用 .NET Framework 3.5 DISM /Online /Enable-Feature /FeatureName:NetFx3 /All /Source:D:\sources\sxs /LimitAccess这条命令的参数逐个拆开看：/Online 表示对当前正在运行的系统操作；/FeatureName:NetFx3 是 .NET 3.5 功能的功能名，注意是 NetFx3，不是".NET Framework 3.5"这种展示名；/All 表示连同父功能一起启用，避免后续在用 IIS 的 ASP.NET 3.5 时又出现子功能缺失；/Source:D:\sources\sxs 告诉系统组件文件从哪里找；最后的 /LimitAccess 是所有离线安装的灵魂，它限制 DISM 只能使用指定的源位置，不允许再去访问 Windows Update。
不加 /LimitAccess 会怎么样？很多第一次装的人会踩这个坑：命令执行了半天，又卡在"正在启动服务"或"正在搜索 Windows Update"，最后超时报错。原因就是系统默认仍会尝试联机获取。加上 /LimitAccess 后，DISM 会死心塌地只从本地源读文件，成功率和速度都会明显提升。执行过程中如果看到进度条走满，最后输出"操作成功完成"，那就说明 .NET 3.5 已经装好了。
命令运行时间通常在 1 到 5 分钟之间，取决于服务器的磁盘性能和源文件所在介质的读取速度。如果执行中报 87 之类的中文错误提示，多半是命令拼写问题，重点检查 /FeatureName:NetFx3 的大小写和冒号。
3.3 不想敲命令：服务器管理器图形界面从备用源安装
如果你更习惯图形界面，在服务器管理器的"添加角色和功能"向导里也能完成离线安装。步骤是：打开服务器管理器 → 添加角色和功能 → 安装类型选"基于角色或基于功能的安装" → 在功能列表勾选 .NET Framework 3.5 Features → 此时页面会出现一个"指定备用源路径"的输入框，填入 D:\sources\sxs，然后继续点击安装。
这里要注意，图形界面方式同样必须通过"指定备用源路径"来提供 SxS 目录，否则向导还是会尝试连接 Windows Update。很多人在这一步忽略掉了，直接在未填路径的情况下点安装，结果又是 0x800F0906。另外，如果之前的安装失败残留了临时状态，向导可能会直接提示"此功能已部分安装"，这时建议先回到命令行执行一次第 3.2 节的命令，把残留状态清理掉再走向导。
对于大规模服务器批量部署的场景，我一般不用图形界面，而是把 DISM 命令写成脚本，配合参数批量执行。如果你管理的服务器数量不多，图形界面也可以，但记住一个原则：凡是看到"Windows Update"字样，就说明源还没指对。
4. 报错对照：0x800F081F / 0x800F0907 / 0x800F0906 分别怎么处理
4.1 0x800F081F：源文件找不到，先检查 SxS 路径和镜像版本
0x800F081F 是离线安装场景里出现频率最高的一类报错。界面上的提示往往是"找不到源文件"。这个错误的定位方向非常明确：系统按照 /Source 指定的路径去找组件文件，但没有找到可用文件。常见具体原因有三个：路径写错、SxS 目录下没有 .cab 文件、ISO 版本与系统版本不匹配。
处理顺序建议是这样。第一步，确认路径真实存在，用 Get-ChildItem D:\sources\sxs -Filter *.cab 检查，如果提示路径不存在，回到挂载步骤确认光驱盘符是否还是 D:，多光驱服务器容易盘符漂移。第二步，确认 .cab 文件存在，如果文件在但安装仍报 0x800F081F，把源文件拷到本地磁盘再试，避免网络共享读取不稳定。第三步，核对系统版本与 ISO 版本——拿 Server 2012 R2 的 ISO 给 Server 2012 装，或者跨了 SP 版本，都会因为组件 payload 不匹配而找不到对应的包，DISM 日志里会出现 "package not applicable" 之类的描述。
很多人在路径和版本都没问题的前提下还报 0x800F081F，那就需要检查 .cab 文件是否损坏。可以用 certutil 对 cab 做一次哈希校验，或直接从官方 ISO 重新提取 sources\sxs。这个错误码其实是最容易排查的，因为它把问题范围圈得很死——不是路径问题就是包的问题，跟网络无关。
4.2 0x800F0907：策略拦路，修改 Servicing 注册表指定本地源
0x800F0907 的报错信息一般显示"Windows Update 无法访问所需文件"，这通常和组策略有关。服务器可能被配置了"指定可选组件安装和组件修复的设置"策略，该策略限制了组件安装的源位置，或者直接禁止访问 Windows Update。此时即使你用了 /Source 参数，策略优先级也可能高于命令行参数，导致安装被拦下。
解决办法有两个方向。如果服务器是独立机器且你希望统一走本地源，可以通过注册表直接把 Servicing 策略的源路径指到 SxS 目录：
# 在注册表中配置本地源路径，并限制安装过程访问 Windows Update New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Servicing" -Name "LocalSourcePath" -Value "D:\sources\sxs" -PropertyType String -Force New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Servicing" -Name "UseWindowsUpdate" -Value 2 -PropertyType DWord -Force第一条命令把 LocalSourcePath 设为本地 SxS 目录，第二条命令把 UseWindowsUpdate 设为 2，表示始终从本地源安装，不访问 Windows Update。这两项设置对后续所有可选组件的安装生效，不光是 .NET 3.5。设置完成后再执行第 3.2 节的 DISM 命令，0x800F0907 通常就会消失。
如果服务器在域环境里，注册表改完可能很快被域策略刷新覆盖，这时需要找策略管理员在组策略里把"指定可选组件安装和组件修复的设置"设为已启用，并在源路径里填入 SxS 目录。用本地策略还是域策略，取决于你的环境，但记住一个判断点：系统是否受域策略管控，决定了这里临时改注册表是否有效。
4.3 0x800F0906：下载失败，强制本地源配合 /LimitAccess 规避
0x800F0906 是"无法从 Windows Update 下载所需文件"的典型错误码，也是最常见的起始报错。处理这一错误的核心思路是彻底切断安装过程对 WU 的依赖。命令层面就一条——把 /LimitAccess 加上，并把 /Source 指到有效的 SxS 目录。正如第 3.2 节所说，/LimitAccess 的存在就是让 DISM 不向 WU 请求任何文件。
有些场景下，即使加了 /LimitAccess 也会报 0x800F0906，这通常是系统里残留了之前联机安装的临时状态。处理办法是先清理组件存储，再重新执行安装。可以依次执行以下两步，第一行清理临时文件，第二行重新注入功能：
# 清理组件存储中的临时文件和坏状态 DISM /Online /Cleanup-Image /StartComponentCleanup # 重新从本地 SxS 目录安装 .NET 3.5 DISM /Online /Enable-Feature /FeatureName:NetFx3 /All /Source:D:\sources\sxs /LimitAccess注意第一行命令在系统繁忙时可能耗时较长，且清理时必须保证系统盘有足够空间。清理完再装，如果还报 0x800F0906，就要检查是不是有安全软件在拦截 DISM 对本地目录的访问——这类问题在装了统一终端管控软件的服务器上偶尔出现。定位方式是暂时停用管控再执行命令，确认后把 DISM 路径加入白名单，而不是一直与报错死磕。
为方便排查，把三个错误码的定位信息整理成一张表：
| 错误码 | 提示含义 | 常见原因 | 处理方向 |
|---|---|---|---|
| 0x800F081F | 找不到源文件 | 路径错误、镜像裁剪、版本不匹配 | 检查 SxS 路径、重新提取镜像、核对系统版本 |
| 0x800F0906 | 无法从 WU 下载文件 | 网络隔离、WU 被禁、残留状态 | 加 /LimitAccess 强制本地源，必要时先清理组件存储 |
| 0x800F0907 | WU 无法访问所需文件 | 组策略/注册表策略限制 | 配置 Servicing 策略 LocalSourcePath 与 UseWindowsUpdate=2 |
这张表可以打印出来贴在工位上，遇到 .NET 3.5 安装失败先查表定位，基本能省掉一半的排查时间。
5. 避坑与常见问题：五次翻车后的血泪清单
5.1 指定了 /Source 仍报 0x800F081F：ISO 版本与系统版本不匹配
现象：手头有一台 Server 2012（非 R2）的机器，图省事拿了一个 2012 R2 的镜像去提取 sxs 目录，命令执行后直接报 0x800F081F。反复确认路径无误后依然报错，浪费了大半天，最后在 CBS 日志里看到 "package not applicable" 才反应过来。
原因：两个版本的组件包虽然同名，但内部版本号不同，系统校验不通过，认为这个源文件不适用于当前系统。
解决：确认系统版本后再提取 sxs。可以在服务器上执行 winver 看系统版本号，再和 ISO 的 sources\install.wim 里的版本信息比对。版本一致的情况下重跑命令，一次就过了。从那以后，我每次提取 sxs 前都会先对一遍版本，再也不在这上面浪费第二遍时间。
5.2 把 /Source 写成了 D:\sources：漏掉最关键的 sxs 子目录
现象：命令执行后不立刻报"路径不存在"，而是在运行中后期提示找不到源文件。检查路径，确实指向了 D:\sources，但这个目录下根本没有 NetFx3 的组件包。
原因：sources 目录下是 install.wim 等安装文件，真正的可选组件 CAB 包都在 sources\sxs 子目录里。漏掉这个子目录，DISM 就找不到任何可用的 payload。
解决：把路径完整写为 ...\sources\sxs。我一般会先把路径存到一个变量里，比如 $sxs = "D:\sources\sxs"，后面所有命令引用变量，避免手抖少敲一层目录。执行命令前再用一次 Get-ChildItem 确认目录内容，这个习惯能挡住九成以上的路径错误。
5.3 命令卡在"正在搜索 Windows Update"几分钟后超时：忘记加 /LimitAccess
现象：加了 /Source 参数，以为系统不会再联网，结果安装过程停在"正在搜索 Windows Update"，最后报 0x800F0906 超时失败。
原因：DISM 的默认行为是优先使用你给的源，但对缺失的文件仍会尝试联机获取。在隔离网络里，这个联机请求会一直等到超时，整个安装过程看起来就像"卡死"了。
解决：强制加 /LimitAccess，让 DISM 完全不要访问 Windows Update。这是内网环境装 .NET 3.5 必加的参数，不给自己留任何玄学空间。同样的命令，加了它之后从五分钟超时变成两分钟装完，差别就是这么明显。
5.4 装完显示成功，IIS 里的 ASP.NET 3.5 应用还是 404：子功能没有一并启用
现象：安装日志和 DISM 都提示"操作成功完成"，可把应用池切到 .NET v2.0 后站点直接 404，检查功能列表发现 ASP.NET 3.5 相关子项还是空的。
原因：.NET Framework 3.5 功能下还挂着 ASP.NET 3.5、HTTP Activation 等子功能。如果安装时只启用了核心功能，没有把父功能一并开启，IIS 就缺少处理 .NET 2.0/3.5 请求的模块。
解决：安装命令里带上 /All 参数，让 DISM 把父功能和子功能一起启用。如果之前漏了，直接在"添加角色和功能"里勾选 .NET Framework 3.5 Features 下的所有子项补装即可，不需要重头再来一遍。
5.5 从共享目录安装报"拒绝访问"或找不到源：DISM 以 SYSTEM 身份访问不了网络路径
现象：/Source 指向 \server\share\sources\sxs，共享权限也给了读写，但安装时提示拒绝访问或者找不到源文件。同样的文件拷到本地再执行就成功了。
原因：DISM 服务运行在 SYSTEM 账户下，它访问网络共享时不会使用你当前登录账号的凭据。很多共享目录只对特定用户开放，SYSTEM 账户自然读不到。
解决：要么把共享目录的授权加上 Everyone 或 SYSTEM 的读取权限，要么直接把 sxs 目录复制到服务器本地磁盘再执行命令。我的习惯是优先拷到本地，因为网络传输本身还可能造成读取不稳定，本地文件最省心。
6. 快速定位：从报错码到验证命令的十分钟排查流程
遇到 .NET 3.5 安装失败，我会按下面这个顺序在十分钟内把问题定位清楚。整个过程我不会在界面里反复点"安装"，因为那样解决不了任何问题。
第一步，先不要看报错弹窗，直接确认功能当前状态。执行 Get-WindowsFeature -Name Net-Framework-Core，如果 InstallState 显示 Installed，说明从系统视角看功能已经装好了，应用层报错大概率是 IIS 模块或应用程序池的问题，而不是 .NET 3.5 缺失。这一步能帮你避免重复安装。
第二步，如果状态是 Removed 或 InstallPending，根据界面上给出的错误码对照第 4 章的表格定方向：0x800F081F 查本地路径和介质，0x800F0906 查网络与本地源，0x800F0907 查策略。错误码是系统给你的第一个定位线索，不要因为它看起来像一串乱码就忽略。
第三步，检查介质。确认手上的 ISO 与目标系统版本一致，2012 还是 2012 R2，x64 还是 x86，并验证 sxs 目录里确实有 NetFx3 的 .cab 文件。版本不一致、目录被精简、路径拼错，这三件事占了 0x800F081F 的绝大部分来源。
第四步，执行命令。用带 /LimitAccess 的 DISM 命令进行注入，在等待结果的同时观察 CBS.log 尾部，看系统是否真的在读源文件。如果日志里能看到大量 cab 解压的记录，说明安装已经进入正轨，不用再盯着进度条发愁。
第五步，验证。安装命令显示"操作成功完成"并不等于万事大吉，我一般会再跑三条验证命令确认运行时就绪：
# 查看 .NET Framework 3.5 核心功能是否已安装 Get-WindowsFeature -Name Net-Framework-Core # 查询 NetFx3 功能的详细状态 DISM /Online /Get-FeatureInfo /FeatureName:NetFx3 # 检查注册表中的 .NET 3.5 安装标记，Install 值为 1 表示已安装 (Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\NET Framework Setup\NDP\v3.5").Install第三条命令值得多说两句：注册表路径里的 v3.5 键值只在该版本真正安装后才会出现，Install 为 1 说明 .NET 3.5 运行时已经就绪，这个验证结果比日志更直观。日常巡检时，我也会把这三条命令整合成一个脚本，批量检查服务器清单里哪些机器还缺 .NET 3.5。
我在这件事上的教训是：不要一上来就反复重试安装，先看错误码、再看日志、再查源路径，顺序执行下来，绝大多数问题都能在十分钟内确认。如今我每次给 2012 装 .NET 3.5，都强制走一遍"版本核对 → sxs 目录确认 → /LimitAccess 注入 → 注册表验证"，这套流程帮我少加了无数次班。希望这条排查路径和这份包含 SxS 目录的镜像资源包，能帮你在服务器上少折腾两天。
本文还有配套的精品资源，点击获取
