需通过五步策略协同实现：一、设置获取应用位置为“仅 Microsoft Store”；二、启用 SmartScreen 应用安装实时检查；三、组策略禁用 Windows Installer 用户安装权限；四、禁用脚本执行阻断自动化绕过；五、卸载非商店签名应用。

如果您希望在 Windows 11 中启用应用安全安装锁定机制，强制系统仅允许从 Microsoft Store 安装软件，则需通过多层策略协同生效，以阻断外部安装路径并抑制绕过行为。以下是实现该强制限制的具体操作步骤：

一、设置获取应用位置为“仅 Microsoft Store”

此设置直接修改系统级安装入口策略，使双击运行 .exe 或 .msi 文件时触发“此应用无法安装”的明确拦截提示，是面向所有用户的最基础防护手段。

1、按下键盘上的 Win 键，点击任务栏左下角的 Windows 开始图标。

2、在开始菜单中，点击设置（齿轮图标）。

3、在设置窗口左侧边栏中，点击应用。

4、在右侧页面中，点击应用和功能。

5、向下滚动至“选择获取应用的位置”区域，点击其右侧的下拉箭头。

6、从选项中选择仅Microsoft Store（推荐）。

二、启用 SmartScreen 的应用安装实时检查

SmartScreen 在安装行为发生前对文件签名与云端信誉库比对，可拦截已绕过来源设置的可疑安装包，构成第二道动态验证防线。

1、打开设置 → 隐私和安全性 → Windows 安全中心。

2、点击应用与浏览器控制。

3、在“基于声誉的保护”区域，确保检查应用和文件处于开启状态。

4、点击“基于声誉的保护设置”，确认在应用安装时进行检查已启用。

三、通过组策略禁用 Windows Installer 用户安装权限

该策略直接禁用系统级安装服务的用户调用接口，即使拥有管理员权限，也无法通过命令行、PowerShell 或 MSIEXEC 方式静默安装外部程序。

1、按下 Win + R 打开运行窗口，输入 gpedit.msc 并回车（仅限专业版/企业版/教育版）。

2、依次展开路径：计算机配置 → 管理模板 → Windows 组件 → Windows Installer。

3、在右侧找到并双击禁止用户安装策略。

4、勾选已启用，并在下方选项中选择隐藏用户安装。

5、点击确定保存设置。

四、禁用脚本执行以阻断自动化绕过路径

PowerShell、CMD 或批处理脚本常被用于绕过图形界面限制，禁用脚本执行可切断此类静默安装链路，提升策略完整性。

1、按下 Win + R 打开运行窗口，输入 gpedit.msc 并回车。

2、依次展开路径：计算机配置 → 管理模板 → 系统 → 脚本。

3、在右侧双击防止运行脚本策略。

4、勾选已启用，点击确定保存设置。

五、卸载已存在的非商店签名应用

已有未签名或发布者为“未知”“未签名”“来自此设备”的程序可能持续运行并加载非受信模块，清除存量风险是锁定生效前的关键收尾动作。

1、打开设置 → 应用 → 已安装的应用。

2、点击右上角排序按钮，选择按安装日期。

3、逐个查看应用详情页中的发布者信息。

4、对发布者显示为未知、未签名或来自此设备的应用，点击其名称后选择卸载。