必须同时启用“启用屏幕保护程序”和“在恢复时显示登录屏幕”两项策略，前者设置超时时间（如300秒），后者强制锁屏认证；还需禁用本地覆盖、调整电源设置并刷新组策略。
要让 windows 系统在空闲后自动锁屏并强制输入密码认证，关键不是只开一个策略，而是让“屏保启动”和“恢复时验证”两个动作协同生效。仅启用其中一项，系统仍可能被绕过——比如鼠标一动就直接回到桌面。
必须同时启用的两项核心策略
这两项都位于：计算机配置 → 管理模板 → 控制面板 → 个性化
- 启用屏幕保护程序：设为“已启用”，并在下方“屏幕保护程序超时（秒）”中填入数值（如 300 表示 5 分钟）。这一步只是让屏保动起来，不锁屏。
- 在恢复时显示登录屏幕：设为“已启用”。这是真正触发锁屏认证的关键——屏保结束时会跳转至 Windows 锁屏界面（等效于 Win+L），必须输入域或本地账户密码才能继续使用。
防止策略被绕过的补充设置
有些系统看似设置了屏保锁屏，但用户一碰键盘就直接进桌面，常见原因如下：
- 检查电源管理是否干扰：进入计算机配置 → 管理模板 → 系统 → 电源管理 → 交互式设置，将“当计算机空闲时允许待机”设为“已禁用”。否则系统可能先进入睡眠/休眠，跳过屏保流程。
- 确认策略应用位置：这两项必须配置在计算机配置路径下，而非用户配置。用户配置路径下发的同类策略在域环境中无效。
- 禁用本地覆盖：可顺带启用“阻止更改屏幕保护程序”和“隐藏屏幕保护程序选项卡”，防止终端用户手动关闭。
策略部署与验证要点
配置完成后需确保策略真正落地：
- 客户端执行 gpupdate /force 强制刷新组策略；建议注销再重新登录，比单纯等待更可靠。
- 用 gpresult /h report.html 生成策略应用报告，确认上述两项策略状态为“已启用”且“已应用”。
- 测试时注意：空闲等待时间从最后一次键盘/鼠标操作开始计算，不是从开机或登录起算。
配套安全加固建议（非必需但推荐）
若面向教育机房、办公终端等高风险场景，建议叠加以下措施：
- 启用密码策略：在计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略中，启用复杂性要求、最小长度≥12、历史记录≥24、最长使用期≤60天。
- 限制非法程序运行：通过 AppLocker（路径：计算机配置 → Windows 设置 → 安全设置 → 应用程序控制策略）仅允许可信路径（如 System32、指定软件目录）执行程序，防绕过锁屏的恶意工具。
- 注册表加固（可选）：在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa 下设 LmCompatibilityLevel=5 和 NoLMHash=1，禁用弱哈希存储，提升凭证防护等级。
