彻底封死Windows 11更新包下载需四步：一、拒绝Users组对SoftwareDistribution\Download的全部权限；二、禁用BITS服务并设恢复操作为无；三、注册表禁用Delivery Optimization下载模式并锁定缓存路径为只读；四、重命名原Download文件夹、新建并设为只读。

如果您发现 Windows 11 在未获许可的情况下持续下载更新包，甚至绕过暂停设置强行获取补丁，则很可能是系统仍能正常访问其默认更新分发目录。以下是彻底封死系统更新包下载路径的多种技术手段：

一、修改 SoftwareDistribution 文件夹权限

该方法通过剥夺系统对核心更新缓存目录的写入与读取权限，使 Windows Update 无法创建、覆盖或执行任何下载内容，从文件系统层实现硬性拦截。

1、打开文件资源管理器，定位到 C:\Windows\SoftwareDistribution 目录。

2、右键单击其中的 Download 文件夹，选择“属性”。

3、切换至“安全”选项卡，点击“编辑”按钮。

4、在弹出的权限窗口中，选中“Users”组，将下方所有权限勾选框全部设为“拒绝”。

5、勾选“替换子容器和对象的所有者”，点击“应用”→“确定”完成强制权限重置。

二、禁用后台智能传输服务（BITS）

BITS 是 Windows 更新包下载的核心传输引擎，即使 Windows Update 服务被禁用，BITS 仍可独立拉取更新数据；关闭它可切断底层下载通道。

1、按 Win + R 输入 services.msc 并回车，打开服务管理器。

2、在列表中找到 Background Intelligent Transfer Service（显示名称可能为“后台智能传输服务”）。

3、右键该服务 → 属性 → 将“启动类型”设为 禁用。

4、若当前状态为“正在运行”，先点击“停止”按钮。

5、切换至“恢复”选项卡 → 将“第一次失败”“第二次失败”“后续失败”全部设为 无操作 → 点击“确定”。

三、重定向并锁定 Delivery Optimization 缓存路径

Delivery Optimization 默认启用 P2P 分发机制，会主动从其他设备或微软服务器下载更新片段；将其缓存目录指向无效路径并设为只读，可阻断所有分发行为。

1、按 Win + R 输入 regedit 并以管理员身份运行注册表编辑器。

2、导航至路径：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeliveryOptimization。

3、若该路径不存在，依次右键新建项：DeliveryOptimization → 新建 DWORD (32 位) 值，命名为 DODownloadMode。

4、双击该值，基数选“十进制”，数值数据填入 0（表示禁用所有下载模式）。

5、在同一路径下，新建另一个 DWORD 值，命名为 CacheHostLocation，数值数据设为 C:\Windows\Temp\DO_LOCKED。

6、手动创建该路径下的空文件夹，并将其属性设为“只读”与“隐藏”。

四、删除并重建只读的 Download 文件夹

此方法利用系统在缺失 Download 子目录时无法初始化下载队列的机制，配合只读属性防止自动重建，形成稳定阻断点。

1、以管理员身份运行命令提示符或 PowerShell。

2、依次执行以下命令：

net stop wuauserv

net stop bits

ren C:\Windows\SoftwareDistribution\Download Download.old

mkdir C:\Windows\SoftwareDistribution\Download

attrib +r +h C:\Windows\SoftwareDistribution\Download

3、重启 Windows Update 服务：net start wuauserv。