火绒主程序关了弹窗还在？procexp追了一下午，进程和服务没分离

上周折腾一台老笔记本，装的是火绒，就想试个静默环境，把主程序退了，右下角托盘图标也没了，结果半小时后弹窗又蹦出来——“升级完成，重启生效”。

我当时就坐直了。

按我的理解，主程序关了，弹窗模块就算不跟着走，也不该独立到能自己弹。于是上 procexp，按窗口句柄找到来源进程，一看名字还是火绒的，PID 跟主程序退出前不一样，是个后台服务进程。

继续挖：

1. 服务列表里 HipsDaemon 和 HipsTray 两个服务都是 Auto 启动，主程序退出只杀了 UI 层，守护进程纹丝不动；
2. 用 sc query 看状态，主程序没了它照样 Running，弹窗是守护进程里挂的定时任务触发的；
3. 我手动把服务也停了，弹窗才彻底消停。

结论：火绒的“退出”是退 UI，不是退防护栈。 这点其实不少安全软件都这么干，避免用户误关防护。但问题在于，官方没在退出确认里说清楚，普通用户以为关了就是关了。

我做了个对比测试：

• 方案 A：只关主程序 → 弹窗复现，间隔 20-40 分钟；
• 方案 B：主程序 + 手动停两个服务 → 4 小时无弹窗；
• 方案 C：主程序 + 任务管理器结束进程树 → 服务自动拉起，弹窗 1 小时内复现。

所以单靠任务管理器杀进程没用，得走服务管理或者组策略。

我的判断：

• 优点：无广告这点我认，用到现在没见推广；防护逻辑是服务化的，比单进程常驻更稳；
• 缺点：退出语义不透明，对折腾党不友好；进程和服务没分离，导致“关不干净”的错觉很普遍；
• 建议：如果只是临时静默，别直接退主程序，去服务里把 HipsDaemon 设成手动，要用再开，比反复杀进程干净。

另外提醒一句，动服务前先记下原始启动类型，别回头忘了改回来，防护瞎了都不知道。

你们那边关火绒主程序后，弹窗是立刻没还是过会儿又冒？有没有谁测过不同版本之间这个行为变过？