答案是禁用“以管理员批准模式运行所有管理员”策略：按Win+R输入gpedit.msc，依次展开计算机配置→Windows设置→安全设置→本地策略→安全选项，找到该策略并设为“已禁用”，重启生效。
当你双击一个刚下载的工具、旧版软件或绿色免安装程序时，Windows 11 突然弹出红色警告框：“管理员已阻止此应用”，鼠标点 anywhere 都无法继续——这不是文件损坏，也不是杀毒软件拦截，而是系统级安全策略在后台直接掐断了执行链。
禁用管理员批准模式（专业版/企业版适用）
这一步针对的是 UAC 的核心拦截逻辑。启用状态下，哪怕你是管理员，系统也默认把你当普通用户对待，每次运行都强制二次确认；禁用后，管理员账户回归真实权限层级，不再被“自己人”拦路。
① 按 Win + R 输入 gpedit.msc 回车，打开本地组策略编辑器；
② 依次展开：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项；
③ 在右侧列表中找到并双击“用户账户控制：以管理员批准模式运行所有管理员”；
④ 将设置改为“已禁用”，点击确定保存；
⑤ 【必须重启电脑】，否则策略不加载。
注册表关闭 LUA 强制模式（家庭版/所有版本通用）
家庭版没有 gpedit.msc？没关系。EnableLUA 是 Windows 权限模型的底层开关，设为 0 后，UAC 提权弹窗、管理员批准流程、标准用户提权限制全部失效——它比调低 UAC 滑块更彻底，且无需第三方工具。
方法一：图形界面操作
1. 按 Win + R 输入 regedit 回车，进入注册表编辑器；
2. 导航至 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System；
3. 找到 EnableLUA（DWORD 32位），双击修改数值数据为 0；
4. 关闭注册表编辑器，重启生效。
方法二：命令行一键写入（推荐给怕误点的用户）
右键开始菜单 → “Windows 终端（管理员）”，粘贴执行：
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
回车后显示“操作成功完成”，立即重启。
解除单个文件的“来自互联网”锁定
很多用户试遍所有策略修改仍失败，其实问题就藏在文件属性里——Windows 会悄悄给从浏览器、微信、QQ 下载的 .exe 自动打上 Zone.Identifier 标签，SmartScreen 和 UAC 都认这个标记，哪怕你已经是管理员，它照样拒绝执行。
1. 右键被阻止的程序文件 → “属性”；
2. 拉到最底部，看“常规”选项卡是否有灰色提示：“此文件来自其他计算机，可能被阻止以帮助保护该计算机。”；
3. 如果有，勾选下方“解除阻止”复选框；
4. 点击“应用” → “确定”；
5. 双击运行，立刻生效，无需重启。
停用 Application Identity 服务（排查 AppLocker 干扰）
如果你所在单位配发的电脑、学校机房设备或某些预装系统的品牌机启用了 AppLocker，那么“管理员已阻止”大概率是它干的。这个服务一旦运行，就会扫描每个 EXE 文件是否匹配白名单规则，不匹配就秒拒——连错误详情都不给你看。
1. 按 Win + R 输入 services.msc 回车；
2. 在服务列表中找到 Application Identity；
3. 右键 → “停止”；
4. 再次右键 → “属性” → 启动类型设为“禁用”；
5. 点击“应用”后直接尝试运行原程序，【若此时能运行，说明就是 AppLocker 在拦截】。
新建干净管理员账户（绕过策略继承污染）
现有账户可能已被域策略、本地 GPO 或多次调试留下的残留权限项深度绑定，就像穿了一件脱不掉的“限制紧身衣”。新建账户等于换一套全新皮肤，不继承任何历史策略上下文，是验证是否为账户层问题的黄金标准。
第一步：创建账户
右键开始按钮 → “Windows 终端（管理员）”，依次执行：
net user NewAdmin P@ssw0rd123 /add
net localgroup administrators NewAdmin /add
第二步：登录验证
点击任务栏用户头像 → 切换用户 → 选择 NewAdmin 登录；
第三步：运行测试
在新桌面下，直接双击原被阻止程序，不改任何设置、不点右键菜单，看是否弹窗消失。
