必须同时启用“启用屏幕保护程序”和“在恢复时显示登录屏幕”两项计算机配置策略，并禁用空闲待机、确保账户有密码，才能实现自动锁屏与强制密码验证。
要通过组策略实现系统自动锁屏并强制密码验证，关键不是只设一个选项，而是让“屏保启动”和“锁屏认证”两个动作协同生效。单独启用其中任一策略都无法真正锁定——比如只开屏保但不启用登录屏幕，用户动一下鼠标就直接返回桌面；反之，若只开登录屏幕但没触发条件，系统根本不会进入锁屏流程。
必须同时启用的两项核心策略
这两项策略都位于计算机配置 → 管理模板 → 控制面板 → 个性化路径下，且必须都在“已启用”状态：
- 启用屏幕保护程序：开启后才具备“空闲后触发动作”的基础。需同步设置“屏幕保护程序超时（秒）”，建议填300（即5分钟），数值按安全要求可下调至180或更短。
- 在恢复时显示登录屏幕：这是真正实现密码强制锁定的核心。启用后，屏保结束时系统不再返回桌面，而是跳转至标准Windows锁屏界面（等效于按 Win+L），必须输入域账户或本地账户密码才能继续操作。
避免被绕过的补充配置
仅靠上述两项，在部分场景下仍可能失效，需检查以下设置：
- 进入计算机配置 → 管理模板 → 系统 → 电源管理 → 交互式设置，将“当计算机空闲时允许待机”设为“已禁用”。否则系统可能先进入待机/休眠，跳过屏保逻辑，导致锁屏未触发。
- 确认账户已设置有效密码。若账户无密码，即使策略启用，“在恢复时显示登录屏幕”也会自动降级为跳过验证。
- 不要在“用户配置”路径下设置同类策略——域控下发的锁屏策略必须放在“计算机配置”容器中，用户配置路径下的同名策略对终端无效。
策略部署与验证方法
完成配置后，需确保策略真正落地：
- 在客户端执行命令：gpupdate /force 强制刷新组策略，然后注销再重新登录（或重启）。
- 验证是否生效：等待设定的空闲时间（如5分钟），鼠标键盘不操作，观察是否自动启动屏保，并在移动鼠标后是否跳转至登录界面而非直接返回桌面。
- 运行 gpresult /h report.html 生成策略应用报告，重点查看“已应用的组策略对象”中是否包含你配置的策略及其状态。
整个过程不复杂但容易忽略细节，尤其是两个策略缺一不可、必须同属计算机配置、且需配合电源设置防绕过。配置完成后，所有受管终端将在空闲后自动锁屏并强制身份认证。
