Windows本地组策略无法直接拉黑SSID，但可通过禁用自动连接开放网络、禁止连接建议热点、手动设置高风险配置文件连接模式及停用WlanSvc服务实现WiFi访问限制。
windows 本地组策略本身不提供直接“拉黑指定ssid”或“仅允许受信任wifi”的图形化策略项。但可通过组合配置，实现对非受信任无线网络（如开放网络、wep加密、未签名证书热点）的连接限制。关键在于禁用系统对高风险网络的自动响应机制，并强化连接前的安全校验逻辑。
启用“禁止自动连接到开放网络”策略
这是最直接有效的组策略控制项，专为防范无密码、弱加密公共WiFi设计：
- 按 Win + R 输入 gpedit.msc，打开本地组策略编辑器（仅限专业版/企业版/教育版）
- 导航至：计算机配置 → 管理模板 → 网络 → WLAN → WLAN Service → 所有用户配置文件
- 双击启用策略：禁止自动连接到开放网络
- 启用后，系统将跳过所有安全类型为“开放”或“无安全保护”的已知网络的自动连接尝试，即使此前保存过且勾选了“自动连接”
禁用“连接到建议的开放热点”功能
该设置阻止 Windows 主动扫描并提示连接周边未加密热点（如机场、商场广播的无密码SSID）：
- 路径：计算机配置 → 管理模板 → 网络 → WLAN → WLAN Service
- 启用策略：禁止连接到建议的开放热点
- 同时建议检查同级策略“允许连接到建议的开放热点”，确保其处于“未配置”或“已禁用”状态
- 此策略生效后，任务栏Wi-Fi列表中不再显示“建议的网络”区域，也收不到系统弹出的“发现开放网络”提示
配合配置文件连接模式强制为手动
组策略无法批量修改已有配置文件的 connectionmode，但可与命令行协同加固：
- 先通过 netsh wlan show profiles 列出所有已保存网络
- 对确认为非受信任的SSID（如“Free_Cafe”“Hotel_Guest”），逐条执行：
netsh wlan set profileparameter name="Free_Cafe" connectionmode=manual - 该命令将配置文件锁定为仅响应用户点击“连接”操作，绕过任何后台自动重连逻辑
- 建议在部署组策略后，统一运行脚本批量处理历史高风险网络
补充：禁用无线自动配置服务（WlanSvc）作为兜底措施
若需彻底阻断所有无线连接行为（适用于高度管控终端），可停用底层服务：
- 运行 services.msc，找到 WLAN AutoConfig 服务
- 右键属性 → 启动类型设为“禁用”，并停止该服务
- 注意：此举将导致设备完全无法使用Wi-Fi，包括已信任网络；仅推荐用于专用离线终端或配合有线网络使用的场景
