需开启“应用安装来源隔离”机制，通过设置“仅Microsoft Store”、启用智能应用控制（强制执行）、关闭SmartScreen拦截、组策略禁用用户安装权限四步实现源头防护。
您在 Windows 11 中安装第三方软件时，希望系统自动识别并隔离来源不可信的安装行为，防止静默写入注册表、注入启动项或修改系统服务，就需要开启“应用安装来源隔离”机制。该机制不依赖单一开关，而是通过组合控制安装入口、执行上下文与签名验证三类策略实现源头级防护。
设置获取应用位置为“仅 Microsoft Store”
这一步直接关闭图形化安装通道，所有双击 .exe/.msi 文件的行为将被系统拦截并弹出明确拒绝提示，是面向所有用户的最基础门控手段。
1、按下键盘 Win 键，点击开始菜单中的设置（齿轮图标）。
2、在左侧边栏点击「应用」→ 右侧选择「应用和功能」。
3、向下滚动至「获取应用的位置」区域，点击右侧下拉箭头。
4、从选项中选择【仅Microsoft Store】，并在弹出的安全确认框中点击「是」。
启用智能应用控制（SAC）强制执行安装策略
此方法激活 Windows 安全中心内置的云信誉驱动型拦截引擎，在安装程序调用 CreateProcess 或 msiexec 的瞬间即实施上下文感知判断，对未签名、低声誉或行为异常的安装包默认拒绝执行。
方法一：图形界面启用
1、按下 Win + I 打开「设置」→ 左侧点「隐私和安全性」→ 右侧点「Windows 安全中心」。
2、点击「应用与浏览器控制」卡片 → 向下滚动至「智能应用控制」区域。
3、点击「管理智能应用控制」→ 将主开关切换为「开」状态。
4、在弹出的策略模式中【必须选择“强制执行”】，不能选“审核”或“关闭”。
5、等待策略包下载完成，点击「立即重新启动」使规则加载生效。
关闭 SmartScreen 对本地安装程序的拦截
SmartScreen 在安装阶段会校验文件哈希与发布者信誉，若无法匹配云端数据库则默认阻止——这对已知安全但分发量小的第三方工具常造成误拦。关闭它可解除安装级拦截，但前提是您已确认来源可信。
1、打开「Windows 安全中心」→ 点击「应用与浏览器控制」。
2、点击「基于声誉的保护设置」→ 找到「适用于 Microsoft Store 和其他应用的 SmartScreen」。
3、将该项开关设为「关」→ 点击右上角「保存更改」。
4、系统提示需重启，点击「立即重新启动」完成禁用。
通过组策略禁用用户安装权限（专业版/企业版/教育版）
该策略关闭系统级安装服务（msiexec）的用户调用接口，即使拥有管理员权限，也无法通过命令行、PowerShell 或静默参数执行外部 MSI 安装，彻底阻断自动化绕过路径。
第一步：打开组策略编辑器
按下 Win + R → 输入 gpedit.msc → 回车。
第二步：定位并配置策略
依次展开：计算机配置 → 管理模板 → Windows 组件 → Windows Installer。
第三步：启用禁止策略
双击「禁止用户安装」→ 勾选「已启用」→ 在下方选项中选择【隐藏用户安装】→ 点击「确定」。
第四步：生效确认
无需重启，策略将在下次用户登录时自动加载；如需立即生效，可注销当前账户后重新登录。
