通过GPO统一设置终端默认程序需三步：导出标准defaults.xml并精简条目；在计算机配置中启用“将指定应用程序设为默认值”策略并指向SYSVOL中的XML；对.ps1等高危扩展名用注册表策略加固，并禁用用户覆盖及漫游干扰。
在域环境中，用组策略（gpo）统一设置全网终端的默认打开程序，核心是通过“设置默认应用程序”策略批量部署标准关联配置，辅以注册表策略加固关键扩展名，并规避用户覆盖和漫游冲突。
导出并准备标准defaults.xml文件
先在一台干净、已按要求配置好默认应用的参考机上操作：
- 用管理员权限打开命令提示符，执行：dism /online /Export-DefaultAppAssociations:C:defaults.xml（注意：不是PowerShell命令，也不需要模块）
- 用文本编辑器打开该XML文件，只保留需强制的条目，例如：
<AssociationIdentifier=".pdf" ProgId="AcroExch.Document.DC" ApplicationName="Adobe Acrobat Reader">
<AssociationIdentifier="http" ProgId="MSEdgeHTM" ApplicationName="Microsoft Edge">
<AssociationIdentifier="mailto" ProgId="Outlook.URL.mailto.15" ApplicationName="Outlook"> - 确保ProgId值准确——可从注册表HKEY_CLASSES_ROOT下对应扩展名或协议查得，错误的ProgId会导致策略不生效
在GPO中启用并指向XML文件
策略路径必须选对，且作用范围为计算机配置：
- 打开组策略管理控制台（GPMC），新建或编辑一个GPO，链接到目标计算机OU
- 导航至：计算机配置 → 管理模板 → Windows组件 → 文件资源管理器
- 启用“将指定的应用程序设置为默认值”策略
- 在“选项”页中，填入XML文件的UNC路径，例如：\DCSYSVOLdomain.localPoliciesDefaultsdefaults.xml（必须放在SYSVOL共享内，所有客户端可读）
锁定高危或易变扩展名（注册表级加固）
仅靠defaults.xml无法阻止用户手动改回.ps1、.reg、.bat等敏感类型，需补充注册表策略：
- 路径：计算机配置 → 策略 → Windows设置 → 注册表
- 添加项：HKEY_LOCAL_MACHINESOFTWAREClasses.ps1，设默认字符串值为Microsoft.PowerShellScript.1
- 再添加：HKEY_LOCAL_MACHINESOFTWAREClassesMicrosoft.PowerShellScript.1shellopencommand，设默认值为："%SystemRoot%system32WindowsPowerShell 1.0powershell.exe" "-NoProfile -ExecutionPolicy Bypass -File "%1""
- 若需彻底禁用双击运行，同步配置PowerShell执行策略（如ExecutionPolicy DWORD=2）及DisableScriptExecution策略
避免用户设置覆盖与漫游干扰
默认关联实际写在用户配置单元（NTUSER.DAT）中，启用了漫游配置文件或UE-V时极易被回滚：
- 在GPO中启用策略：用户配置 → 管理模板 → Windows组件 → 文件资源管理器 → 阻止用户更改默认关联
- 若使用UE-V，必须在UE-V模板中排除同步路径：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerFileExts
- 禁用“设置”应用中的用户级覆盖能力：启用策略“用户配置 → 管理模板 → 控制面板 → 禁用默认程序”
