可通过五种技术路径实现Office仅接收安全补丁而禁用大版本更新：一、配置Click-to-Run为仅安全更新；二、禁用OOSvc服务并保留OUSM；三、注册表锁定更新分支；四、组策略精确控制；五、防火墙屏蔽大版本更新域名。
如果您希望永久停止 Office 大版本更新，同时允许系统继续接收关键安全补丁，说明您需要在功能迭代与基础防护之间建立明确隔离。Office 的大版本更新（如从 16.0.xxxx 升级至 16.0.yyyy）通常由 Click-to-Run 更新机制驱动，而安全补丁则可能通过 Windows Update 或独立的 Microsoft Update 渠道分发。以下是实现该目标的多种技术路径：
一、配置 Office Click-to-Run 更新策略为仅安全更新
此方法通过修改 Office 自身的更新行为策略，使其跳过大版本升级逻辑，仅响应微软标记为“安全”或“重要”的更新包。该设置直接作用于 Office 客户端，不影响 Windows 系统级更新通道。
1、按下 Win + R 键，输入 powershell，右键选择“以管理员身份运行”。
2、执行以下命令，强制 Office 更新服务进入“仅安全更新”模式：
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\office\16.0\common\officeupdate" -Name "UpdateBranch" -Value "Deferred" -Type String -Force
3、新建 DWORD 值，路径同上，名称为 EnableSecurityUpdates，数值数据设为 1。
4、重启任意 Office 应用程序，验证更新选项中是否显示“仅安装安全更新”或类似提示。
二、禁用大版本升级触发服务并保留 OUSM 服务
Office Click-to-Run 服务（OOSvc）负责全量更新，而 Office Update Service Manager（OUSM）专用于安全补丁分发。停用前者、保留后者可实现精准控制。该操作不干扰 Word、Excel 等核心组件运行。
1、按下 Win + R 键，输入 services.msc，回车打开服务管理器。
2、定位并右键“Office Click-to-Run”（服务名：OOSvc），选择“属性”。
3、将“启动类型”设为 禁用，点击“停止”，再点“确定”。
4、在服务列表中查找“Office Update Service Manager”（服务名：OUSM），确认其“启动类型”为“自动（延迟启动）”，且状态为“正在运行”。
三、注册表锁定更新分支并排除功能更新通道
通过向注册表注入特定策略键值，可强制 Office 忽略所有非安全类更新源。该设置优先级高于用户界面操作，适用于多账户环境及远程部署场景。
1、按下 Win + R 键，输入 regedit，以管理员身份运行注册表编辑器。
2、导航至路径：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\office\16.0\common\officeupdate
3、新建字符串值，命名为 UpdateBranch，数值数据填入 CurrentPreview（注意：此处非启用预览版，而是利用其策略限制机制）。
4、在同一路径下新建 DWORD 值，命名为 DisableFeatureUpdates，数值数据设为 1。
5、关闭注册表编辑器，无需重启即可生效；可在任意 Office 应用中通过“文件→账户→更新选项”查看当前策略状态。
四、使用组策略精确控制更新行为（限专业版及以上）
组策略提供最细粒度的 Office 更新控制能力，支持单独启用/禁用功能更新、安全更新、定义延迟周期等。策略配置后，Office 启动时将主动读取并强制执行，覆盖客户端设置。
1、按下 Win + R 键，输入 gpedit.msc，回车打开本地组策略编辑器。
2、依次展开：
计算机配置 → 管理模板 → Microsoft Office 2016（或2019/365）→ 网络更新
3、双击“配置更新分支”，设置为“已启用”，在下方下拉框中选择 Current - Security only。
4、双击“禁用功能更新”，设置为“已启用”；再双击“启用安全更新”，设置为“已启用”。
5、执行 gpupdate /force 命令刷新策略，随后重启 Office 进程。
五、防火墙规则隔离大版本更新域名
Office 大版本更新依赖特定 CDN 域名下载完整安装包，而安全补丁多通过 Windows Update 服务器（如 fe3.delivery.dsp.mp.microsoft.com）分发。屏蔽前者可阻断升级链路，不影响后者通信。
1、打开“控制面板 → 系统和安全 → Windows Defender 防火墙 → 高级设置”。
2、在左侧选择“出站规则”，右侧点击“新建规则”。
3、选择“自定义”类型，点击“下一步”，在“程序”页选择“此程序路径”，输入：
C:\Program Files\Microsoft Office\root\Office16\officeclicktorun.exe
4、在“协议和端口”页保持默认，点击“下一步”；在“作用域”页，“目标端口”留空，“目标地址”中点击“添加”，填入以下域名：
*.prod.do.dsp.mp.microsoft.com、*.fe3.delivery.dsp.mp.microsoft.com
5、选择“阻止连接”，完成规则创建，名称建议设为“Block Office Feature Updates Only”。
