通过本地安全策略可精准控制本地账户的网络访问权限，核心是配置“拒绝从网络访问这台计算机”和禁用“使用空白密码的本地账户只允许进行控制台登录”两项策略，并辅以“从网络访问此计算机”白名单及NTFS权限细化管控。

直接通过“本地安全策略”可以精准控制哪些本地账户能从网络访问这台电脑，核心是配置两项策略：一是禁止特定账户远程登录，二是限制空密码账户的网络访问行为。

禁止指定账户从网络访问

这项设置在“用户权限分配”里，作用是让某些账户完全无法通过局域网、远程桌面或文件共享等方式连接本机。

• 按 Win+R，输入 secpol.msc 回车，打开本地安全策略
• 左侧展开“本地策略”→“用户权限分配”
• 双击右侧策略“拒绝从网络访问这台计算机”
• 点击“添加用户或组”，输入要限制的账户名（如 Administrator、testuser），确认添加
• 该账户下次尝试通过网络访问（比如映射共享、远程桌面）时，会直接被拒绝，不提示输入密码

禁用空密码账户的网络登录

Windows 默认不允许没有密码的本地账户从网络登录，这是常见“登录失败：用户帐户限制”的根源。若需临时允许（如测试环境），必须关闭该策略。

• 在同一 secpol.msc 界面中，展开“本地策略”→“安全选项”
• 找到并双击“账户：使用空白密码的本地账户只允许进行控制台登录”
• 将其设为“已禁用”
• 注意：仅建议在可信内网且无敏感数据的场景下启用；生产环境应为所有账户设置强密码

配合其他策略增强控制效果

单靠上述两项还不够精细，可叠加使用以下设置提升限制准确性：

• 在“用户权限分配”中，检查“从网络访问此计算机”策略——默认包含 Everyone 和 Users 组；如需更严格，可清空该列表，再手动添加允许的账户
• 若启用了 Guest 账户用于共享访问，确保它不在“拒绝从网络访问这台计算机”列表中；同时确认 Guest 已启用且有对应共享权限
• 对关键共享文件夹，还需在 NTFS 权限中单独设置账户读写权限，本地安全策略管登录，NTFS 管访问内容