要永久阻止Windows功能更新，需四层封锁：组策略禁用自动更新并锁定版本、停用Windows Update服务与计划任务、hosts屏蔽微软更新域名、注册表禁用云端同步策略。
你想让 Windows 系统永远停留在当前版本，不被强制升级到新功能更新（如 Windows 11 24H2 或 Windows 10 22H2 后续版本），就要切断系统主动检查、下载、安装重大版本更新的所有路径。这需要同时阻断 Windows Update 服务、组策略控制、计划任务和微软服务器通信四个层面。
用组策略彻底禁用功能更新（专业版/企业版/教育版适用）
这是最底层、最稳定的封锁方式，直接让 Windows Update 组件跳过所有功能更新逻辑。
第一步：按 Win + R 输入 gpedit.msc 回车，打开本地组策略编辑器。
第二步：依次展开路径 → 计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → Windows 更新策略。
第三步：双击“配置自动更新”，选择【已禁用】→ 应用 → 确定。这一步会停用整个更新调度引擎，【后续所有组策略操作必须在此基础上继续，否则无效】。
第四步：在同一路径下，双击“选择目标功能更新版本”，设置为“已启用”，并在下方文本框中填入你当前系统的版本号（例如 Windows 10 用户填 22H2，Windows 11 用户填 23H2）。该策略不会阻止安全更新，但会将功能更新严格锁定在指定版本内，即使微软推送新版本也不会触发升级提示。
第五步：返回上一级，双击“删除使用所有 Windows 更新功能的访问权限”，设为【已启用】→ 确定。这会从“设置→更新和安全”界面彻底移除入口，防止误点或第三方软件调用更新接口。
禁用 Windows Update 服务与关键计划任务
组策略生效后仍需辅以服务级封锁，因为部分更新行为（如 Delivery Optimization 下载分发）可能绕过策略。
方法一：停止并禁用核心服务
按 Win + R 输入 services.msc 回车 → 找到 Windows Update（wuauserv）→ 右键→属性→启动类型设为【禁用】→ 停止此服务 → 切换到“恢复”选项卡，将“第一次失败”“第二次失败”“后续失败”全部设为【无操作】→ 应用。
方法二：清除更新触发任务
按 Win + R 输入 taskschd.msc 回车 → 展开左侧树形结构 → 进入 Microsoft → Windows → WindowsUpdate → 右键“Scheduled Start”和“AuTrigger” → 选择【禁用】。这两个任务是每周自动唤醒更新服务的核心定时器，禁用后系统将不再主动发起更新扫描。
屏蔽微软更新域名（通用有效，含家庭版）
即使服务被禁，某些软件（如 Microsoft Store、Edge、OneDrive）仍可能自行连接微软服务器获取更新信息，hosts 屏蔽是最轻量且跨版本的兜底手段。
以管理员身份运行记事本 → 点击“文件→打开” → 导航至 C:\Windows\System32\drivers\etc\ → 在文件类型下拉菜单中选择“所有文件” → 打开 hosts 文件 → 在文末另起一行，逐行添加以下四条记录：
127.0.0.1 fe2.update.microsoft.com
127.0.0.1 www.windowsupdate.com
127.0.0.1 update.microsoft.com
127.0.0.1 assets2.blob.core.windows.net
保存文件。若提示权限不足，请先右键 hosts 文件 → 属性 → 安全 → 编辑 → 选中当前用户 → 勾选“写入” → 应用。这四条覆盖了功能更新元数据、补丁清单、更新包分发及新版安装镜像的主要域名，【修改后无需重启，立即生效】。
关闭 Windows Update for Business 同步（仅限已加入域或Azure AD设备）
如果你的设备已加入企业域或 Azure AD，系统可能通过 Intune 或本地 WSUS 强制同步更新策略，需额外干预。
按 Win + R 输入 regedit 回车 → 导航至：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
在右侧空白处右键 → 新建 → DWORD (32位) 值 → 命名为 SetDisablePauseUXRestrictions → 双击将其值设为 1。
再新建一个 DWORD 值，命名为 DeferFeatureUpdates → 值设为 1。这两项注册表键值会覆盖云端策略下发的更新指令，使本地设置优先级高于域策略。
