核心是创建标准账户、策略锁定和应用白名单三层控制：先建无Microsoft账户的标准本地用户并移除Admin组权限；再通过Assigned Access强制全屏运行指定UWP或兼容桌面应用；最后用gpedit.msc禁用控制面板、命令提示符等，并以AppLocker设置可信路径白名单，默认拒绝其他可执行文件。
给新用户配置限制性桌面环境，核心是“创建标准账户 + 策略锁定 + 应用白名单”三层控制。不是单纯禁用某个功能，而是通过系统级策略收窄权限边界，让桌面只保留必要入口和操作范围。
创建标准本地用户账户
这是限制的基础——避免赋予管理员权限：
- 打开“设置”→“账户”→“家庭和其他用户”→“将其他人添加到这台电脑”→选择“我没有这个人的登录信息”→“添加没有Microsoft账户的用户”
- 填写用户名、密码（可选）、安全问题，完成创建
- 创建后确认该账户未加入“Administrators”组：右键“此电脑”→“管理”→“本地用户和组”→“用户”，双击该账户→切换到“隶属于”选项卡，仅保留“Users”组（移除任何含Admin字样的组）
启用“指定访问权限”（Assigned Access）
适用于展台、前台终端、学生机等单任务场景，强制全屏运行指定应用：
- 仅限Windows专业版/企业版/教育版（Home版不支持）
- 进入“设置”→“账户”→“登录选项”→“分配的访问权限”→点击“设置”
- 选择刚创建的用户，再选择一个UWP应用（如Edge、计算器）或已安装的桌面程序（需满足兼容要求）
- 保存后，该用户登录即自动启动指定应用，无法Alt+Tab、Win键、Ctrl+Alt+Del等常规快捷键退出
用本地组策略精细管控桌面行为
对需要保留完整桌面但限制功能的场景（如实验室、共享办公），使用gpedit.msc：
- 按Win+R输入gpedit.msc打开本地组策略编辑器
- 关键路径示例：
• 用户配置 → 管理模板 → 控制面板 → “禁止访问控制面板”
• 用户配置 → 管理模板 → 系统 → “阻止访问命令提示符”
• 用户配置 → 管理模板 → 桌面 → “删除桌面上的“我的文档”图标”
• 用户配置 → 管理模板 → 系统 → “区域设置服务”→“限制用户区域设置”（防止语言/时区被改） - 每项设为“已启用”，点击“确定”。策略在用户下次登录时生效
补充：AppLocker限制可执行文件（进阶）
若需彻底阻止非授权程序运行（如禁止安装软件、运行exe）：
- 需Windows企业版/教育版/专业版（Home版无此功能）
- 在gpedit.msc中进入：计算机配置 → Windows设置 → 安全设置 → 应用程序控制策略 → AppLocker
- 启用“可执行规则”，新建规则→选择“路径”或“发布者”，只允许C:\Windows\System32\、C:\Program Files\YourTrustedApp\等可信路径
- 默认拒绝所有其他exe、bat、ps1文件执行，从源头阻断未授权操作
