Windows Kiosk模式通过替换默认外壳（Shell）并限制交互实现单应用锁定：需用本地标准账户，UWP应用走“分配的访问”，Win32应用须修改注册表Winlogon下的Shell值，并配合组策略禁用热键、任务栏、锁屏等退出通道，家庭版不支持此方法。
windows 的 kiosk 模式通过组策略实现自定义界面，核心在于“替换默认外壳（shell）”和“限制用户交互能力”。它不是简单全屏，而是从系统登录后就接管整个用户会话，只呈现你指定的应用或环境。关键不在于功能多，而在于限制准、生效稳、退出难。
明确适用场景与账户前提
必须使用标准本地用户账户（非管理员），且该账户不能关联 Microsoft 账户。Kiosk 策略基于账户绑定，一个策略只能作用于一个指定账户。若需多台设备统一管理，应结合 Active Directory 组织单位（OU）批量部署组策略对象（GPO）。
- 家庭版 Windows 不支持组策略编辑器（gpedit.msc），无法使用此方法
- UWP 应用可直接通过“分配的访问”启用；Win32 应用（如 Chrome、自研 .exe）必须走 Shell 替换路径
- 自动登录需谨慎开启——建议先禁用自动登录，验证 Shell 替换生效后再配置，避免锁死系统
强制启动 Win32 应用为唯一界面（Shell 替换）
这是实现真正单应用锁定的底层方式：让系统登录后不启动 explorer.exe，而是直接运行你的目标程序，并屏蔽所有系统级退出入口。
- 以管理员身份打开注册表编辑器，定位到：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon - 新建字符串值，名称为 Shell，数值数据填入完整路径，例如：
C:\Program Files\Google\Chrome\Application\chrome.exe --kiosk --no-first-run https://welcome.local - 同时将 DefaultUserName 和 AutoAdminLogon（设为 1）配对使用，确保开机直达；但首次调试务必先手动登录验证
- 注意：Chrome/Edge 的
--kiosk参数必须出现在命令最前端，否则可能被忽略
封堵常见退出通道（关键加固项）
仅改 Shell 不够，用户仍可能通过快捷键、任务管理器或触摸手势逃逸。需用组策略逐项关闭：
- 禁用热键：
计算机配置 → 管理模板 → Windows 组件 → 文件资源管理器 → “在文件资源管理器中禁用 Windows 键盘快捷方式” → 启用 - 隐藏任务栏与开始菜单：
用户配置 → 管理模板 → 开始菜单和任务栏 → “移除任务栏上的所有按钮”、“阻止访问任务管理器”、“删除‘开始’菜单中的‘运行’菜单”等全部启用 - 禁用边缘滑动（触控设备）：
计算机配置 → 管理模板 → Windows 组件 → Edge UI → “允许边缘滑动” → 设为“已禁用” - 锁屏与锁屏快捷键：
用户配置 → 管理模板 → 控制面板 → 个性化 → “阻止更改屏幕保护程序设置”，并配合“启用屏幕保护程序”设为“已启用”+超时设为 0
浏览器类 Kiosk 的专项优化
若主应用是网页，Edge 或 Chrome 的内建 kiosk 参数只是起点，还需配合策略防止页面跳转和数据残留：
- Edge 推荐使用 InPrivate 模式启动（
--inprivate），配合 kiosk 参数，确保无缓存、无历史、无自动填充 - 通过企业策略（ADMX 模板）锁定初始 URL、禁止新标签页、禁用地址栏编辑（Edge 支持“只读网址列”策略）
- Chrome 需部署
--kiosk-printing（静默打印）、--disable-features=TranslateUI等参数精简干扰项 - 所有浏览器 kiosk 启动命令建议加上
--no-sandbox --disable-gpu提升老旧设备兼容性（测试确认无崩溃再启用）
