核心是导出含明文密钥的XML配置并导入GPO无线策略：需在已连通设备上执行netsh wlan export profile key=clear，验证<keyMaterial>有效且<protected>false，精简XML后通过GPO“无线网络(IEEE 802.11)策略”导入，设首选顺序并禁用开放热点自动连接，客户端需gpupdate /force及重启生效。

在域环境中，用组策略（gpo）让全网终端自动连接指定办公wi-fi，核心是把已验证的无线配置以安全、可复用的方式批量部署。关键不在“能不能连”，而在“连得稳、连得准、连得无声无息”——用户开机或登录后即接入，无需点击、无需输密、不弹提示。

导出带明文密码的Wi-Fi配置XML

必须从一台已成功连接目标办公Wi-Fi的Windows设备上导出，且确保密码包含在内：

• 以管理员身份运行命令提示符，执行：
  netsh wlan export profile name="Office_WiFi" folder=C:\temp key=clear
• 检查导出的Wi-Fi-Office_WiFi.xml：确认<keyMaterial>节点里有真实密钥，且<protected>false</protected>
• 精简XML：删掉<connectionMode>以外的冗余字段（如<useOneX>若非802.1X环境可移除），避免GPO解析冲突

创建并配置无线网络GPO策略

在域控制器的“组策略管理控制台”（GPMC）中操作：

• 新建GPO（例如命名Deploy_OfficeWiFi），链接到目标OU（如“Workstations”或“Laptops”）
• 编辑GPO → 计算机配置 → 策略 → Windows设置 → 安全设置 → 无线网络（IEEE 802.11）策略
• 右键“无线网络策略” → 新建无线网络策略 → 勾选“启用此策略”和“在此策略中启用所有用户配置文件”
• 点击“添加”→“从XML文件导入”，选择刚才导出的XML文件
• 在策略属性中：
  • 勾选“允许用户手动连接到其他网络”（按需保留灵活性）
  • 设置“首选网络顺序”，把该办公Wi-Fi拖到最顶部，确保优先匹配

关闭干扰性自动连接行为

防止终端被开放热点、联系人共享网络等“抢连”，干扰办公Wi-Fi的稳定接入：

• 同一GPO路径下（计算机配置 → 管理模板 → 网络 → WLAN服务 → WLAN设置），找到策略：
  允许Windows自动连接到建议的开放热点、联系人共享的网络以及提供付费服务的热点
• 将其设为已禁用 —— 这会一并关闭WLAN感知相关功能，避免非预期连接
• 如需更彻底控制，可在同一位置启用“禁止用户配置新的无线网络”，仅保留GPO下发的配置

验证与排错要点

部署后不是“一推了之”，需关注几个实际生效环节：

• 客户端需执行gpupdate /force并重启，或等待默认刷新周期（通常90分钟）
• 检查客户端是否已接收配置：netsh wlan show profiles 应列出该办公Wi-Fi；netsh wlan show profile name="Office_WiFi" setting=security 可确认密钥是否已载入
• 若仍无法自动连接，检查本地安全策略：
  “网络访问：不允许存储用于网络身份验证的密码和凭据”必须为禁用（路径：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项）
• 对于802.1X认证网络，XML中必须保留<oneX xmlns="http://www.microsoft.com/networking/OneX/v1">完整结构，并确保证书信任链已通过GPO同步到位