先清除文件的“解除阻止”标记可解决约60%拦截问题；其次将UAC调至第二档并重启；再禁用“以管理员批准模式运行所有管理员”策略；最后停用Application Identity服务验证AppLocker干扰。

当你在 Windows 11 中双击一个刚下载的绿色工具、旧版安装包或自研程序时，弹出黄色感叹号窗口写着“由于安全策略，此应用已被拦截”，光标无法点击“仍要运行”，也无法拖动窗口——这不是文件损坏，也不是杀毒软件报错，而是系统在 UAC 提权通路、组策略开关、服务层或文件元数据四个层面中至少一处主动切断了执行链，必须按触发顺序逐层排查。

先清除单个文件的“互联网来源”锁定

这一步能立刻解决约60%的拦截问题，适用于从官网、网盘、微信或浏览器直接下载的 .exe、.msi 文件。Windows 会偷偷给这类文件附加 Zone.Identifier 流，哪怕你刚点完“保留”，它也会在后台标记为“不安全”，后续所有提权动作都会被掐断。

右键被拦截的程序 → 选择“属性” → 切换到“常规”选项卡 → 找到底部“安全”区域中“此文件来自其他计算机，可能被阻止以帮助保护该计算机”提示 → 勾选下方的“解除阻止”复选框 → 点击“应用”，再点“确定”。

如果底部根本没有“解除阻止”选项，说明该文件未被标记为网络来源，此方法不适用，直接跳到下一节。

调回UAC通知至第二档（关键临界点）

很多人把 UAC 滑块拉到最底“从不通知”，结果系统连提权弹窗都不显示，直接判定为“被阻止”。第二档才是唯一能让弹窗正常出现、允许你手动点“是”的安全临界点。

1、点击任务栏搜索图标 → 输入【更改用户账户控制设置】并回车；
2、将滑块拖动至第二档——“仅当应用尝试更改我的计算机时通知我”；
3、点击“确定” → 在弹出的管理员确认对话框中选“是”；
【必须重启电脑，否则新设置不参与后续程序启动流程】

禁用“以管理员批准模式运行所有管理员”策略

这是专业版/企业版 Windows 11 的核心拦截开关。启用状态下，所有管理员账户都强制走双重验证，导致未签名、免安装或老旧程序连提权弹窗都收不到，直接静默拒绝。

方法一：组策略编辑器
① 按 Win + R 输入 gpedit.msc 回车 → ② 依次展开：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 → ③ 在右侧找到并双击“用户账户控制：以管理员批准模式运行所有管理员” → ④ 将设置改为“已禁用” → ⑤ 点击“确定” → 【必须重启计算机，否则更改完全不生效】

方法二：PowerShell 一键执行（需管理员权限）
以管理员身份运行 PowerShell → 输入：Set-LocalUser -Name $env:USERNAME -UserMayNotChangePassword $false → 回车执行 → 无报错即生效 → 重启后确认状态。

停用 Application Identity 服务（快速验证是否为 AppLocker 干扰）

AppLocker 规则依赖 Application Identity 服务运行，即使你没手动配置过规则，域策略或预置策略也可能已加载拒绝逻辑。停用该服务可即时终止 AppLocker 的拦截行为，适合快速验证。

按 Win + R 输入 services.msc 回车 → 在服务列表中找到 Application Identity → 右键选择“停止” → 再次右键 → 选择“属性” → 将“启动类型”设为“禁用” → 点击“确定” → 关闭窗口。