Windows本地组策略限制运行程序的核心是通过用户配置或计算机配置下的策略项控制可执行文件启动，支持专业版/企业版/教育版系统（家庭版需启用gpedit.msc或改注册表）。

Windows 本地组策略限制运行程序，核心是通过 用户配置 或 计算机配置 下的策略项，控制哪些可执行文件能被启动。它不依赖第三方软件，原生支持、生效稳定，适用于专业版/企业版/教育版系统（家庭版需先启用 gpedit.msc）。

一、快速启用“禁止运行指定程序”（基础黑名单）

适合阻止几个常见程序，如游戏、聊天工具等，操作简单但仅按文件名匹配：

• 按 Win + R 输入 gpedit.msc 回车，打开本地组策略编辑器
• 导航至：用户配置 → 管理模板 → 系统
• 双击右侧“不要运行指定的Windows应用程序”
• 勾选“已启用”，点击“显示”按钮
• 在弹出窗口中，每行输入一个要禁用的程序完整文件名（必须含 .exe），例如：
  steam.exe
WeChat.exe
chrome.exe
• 点“确定”保存，目标用户重新登录后即生效

二、用 AppLocker 设置白名单或拒绝规则（推荐进阶方案）

比黑名单更精准，支持按用户/组、路径、发布者或哈希值识别程序，防重命名、防替换、防绕过：

• 打开 secpol.msc → 进入“安全设置 → 应用程序控制策略 → AppLocker”
• 右键“可执行规则” → “创建新规则”
• 向导中选择“拒绝”操作，再选“用户或组”，添加具体账户（如 Students\Alice）
• 条件选“路径”，浏览并定位到程序完整路径（如 C:\Program Files\Tencent\WeChat\WeChat.exe）
• 完成命名后点击“创建”，规则立即写入，无需重启

三、补充关键管控项（让限制真正落地）

单靠禁止程序不够，还需封堵常用绕过方式：

• 禁用命令提示符与 PowerShell：用户配置 → 管理模板 → 系统 → “阻止访问命令提示符”，设为已启用
• 禁止运行 control.exe 和 SystemSettings.exe：AppLocker 中单独创建拒绝规则，防止用户调出控制面板或设置界面
• 隐藏或禁用特定控制面板项：用户配置 → 管理模板 → 控制面板 → “禁止访问指定的控制面板项”，填入 inetcpl.cpl、mmsys.cpl 等
• 移除用户管理员权限：确保目标账户只属于 Users 组，不在 Administrators 或 Power Users 中

四、家庭版用户替代方案（无 gpedit.msc）

Windows 家庭版默认不带组策略编辑器，可用注册表实现类似效果：

• 按 Win + R 输入 regedit，定位到：
  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
• 新建 DWORD (32位) 值，命名为 DisallowRun，数值数据设为 1
• 在同一位置新建 项，命名为 DisallowRun（注意大小写）
• 在该子项下，新建多个 字符串值，名称任意（如 1、2），数值数据填程序名（如 steam.exe）
• 重启资源管理器或注销重登即可生效