火狐ESR主页需四层加固：设置界面启用自定义网址并确认启动模式；about:config重置homepage、page及mstone参数；删除user.js文件并清理快捷方式末尾非法参数；Windows专业版可用组策略禁用主页修改并指定可信地址。
火狐浏览器ESR版本因长期稳定更新特性，常被企业或教育机构部署，但其主页设置同样会被捆绑软件、广告插件或快捷方式劫持反复篡改，必须从用户配置、启动参数、文件层和系统策略四层同步加固才能真正锁定。
通过设置界面强制启用主页并验证启动模式
这一步是基础防线，确保ESR版本图形界面配置生效，但单独操作无法防劫持。
点击右上角三条横线→“设置”→左侧“主页”，在“主页和新窗口”下拉菜单中选“自定义网址”。
输入完整目标网址，【必须带https://前缀，例如https://www.baidu.com】，否则保存后可能自动失效。
在“启动Firefox时”选项中，确认勾选的是“显示您的主页”，而非“打开上次会话”或“空白页”。
关闭设置页，手动关闭所有Firefox窗口，再双击桌面图标重启——若仍跳转异常页面，说明劫持已绕过此层。
进入about:config清除覆盖标记并修正关键参数
ESR版本对browser.startup.homepage_override.mstone的校验逻辑与稳定版一致，但更易被静默写入，漏掉重置将导致所有修改无效。
地址栏输入about:config→点击“接受风险并继续”。
搜索browser.startup.homepage，双击修改为你的目标网址，【务必包含协议头，http://或https://缺一不可】。
搜索browser.startup.page，确认值为1；若为3（恢复会话）或4（空白页），主页根本不会加载。
搜索browser.startup.homepage_override.mstone→右键→“重置”——【这步不可跳过，否则浏览器始终认为“有外部接管”，无视你输的任何地址】。
重启浏览器，观察是否仍被还原：若还原，说明劫持源在更底层，需继续排查。
检查并清理user.js文件与快捷方式劫持
ESR部署环境常被批量推送脚本注入user.js，该文件优先级高于about:config，每次启动都会强制覆盖主页设置。
在地址栏输入about:support，找到“配置文件夹”旁的“显示文件夹”按钮，点击打开所在目录。
查看该文件夹内是否存在user.js文件——如有，直接删除它；如不确定内容，用记事本打开，查找是否含user_pref("browser.startup.homepage", "...")这一行，有则整行删掉。
右键桌面Firefox ESR快捷方式→“属性”→“快捷方式”选项卡→“目标”框：
正常路径应为"C:\Program Files\Mozilla Firefox ESR\firefox.exe"（含英文引号）；
若末尾出现空格+http://xxx.com、--homepage=...或?from=adlock等字符，【全部删光，只留引号包裹的.exe路径】。
同样检查任务栏固定图标和开始菜单中的快捷方式——三处入口必须全部清理，缺一不可。
部署组策略禁用主页修改（仅限Windows专业版/企业版）
ESR常用于域环境，组策略是唯一能从系统级封死IE兼容组件及Firefox启动参数篡改权限的方式。
按Win+R输入gpedit.msc回车，打开本地组策略编辑器。
依次展开：用户配置→管理模板→Windows组件→Internet Explorer。
找到“禁用更改主页设置”，双击打开→选择“已启用”。
在下方“主页”框中填入你指定的可信地址，例如https://intranet.company.local。
点击“确定”，关闭编辑器。
按Ctrl+Shift+Esc打开任务管理器→找到“Windows资源管理器”→右键“重新启动”，使策略立即生效。
此后任何非管理员进程尝试调用注册表或API修改主页，系统将直接拒绝写入。
