要让普通用户无法修改系统时间，核心是切断其对时间设置功能的访问权限：一、用组策略禁用时间修改入口；二、注册表锁定；三、限制Windows Time服务操作权限；四、验证与生效要点。
要让普通用户无法修改系统时间，核心是切断他们对时间设置功能的访问权限——既不能点开界面，也不能调用系统服务或写入关键注册表项。管理员账户可保留修改权，其他用户一律限制。
一、用组策略禁用时间修改入口（专业版/企业版适用）
这是最直接有效的方式，能同时屏蔽设置界面和底层API调用：
- 按 Win + R 输入 gpedit.msc 打开组策略编辑器
- 路径：计算机配置 → 管理模板 → 控制面板 → 日期和时间
- 启用“防止用户调整日期和时间”策略
- 再进入：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配
- 双击“更改系统时间”，删除所有非管理员账户（如 Users、Everyone），只留 Administrators 和 SYSTEM
二、注册表锁定（所有版本通用，含家庭版）
绕过组策略缺失问题，从系统底层禁用时间设置功能：
- 以管理员身份运行 regedit
- 定位到：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Control Panel\International
- 新建 DWORD 值，命名为 DisableTimeSettings，数值设为 1
- 另建一处防护：定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TimeZoneInformation
- 右键该键 → 权限 → 高级 → 更改所有者为 Administrators 组 → 移除继承权限 → 仅给标准用户授予“读取”权限，拒绝“写入”
三、限制 Windows Time 服务操作权限
防止用户通过服务管理器、PowerShell 或命令行重启时间服务来间接影响时间：
- 运行 services.msc，找到 Windows Time 服务
- 右键 → 属性 → “登录”选项卡，确认服务运行账户为“本地系统”，而非任意用户账户
- 进一步加固：在服务属性的“安全”选项卡（需安装 SubInACL 工具或使用 PowerShell）中，移除标准用户对 W32Time 的“启动”“停止”“暂停”权限
四、验证与生效要点
策略不是设完就立刻起效，注意以下细节：
- 组策略需运行 gpupdate /force 刷新，或注销重登录
- 注册表修改后建议重启电脑，确保所有进程加载新策略
- 测试时用标准用户账户登录，检查任务栏右键时间菜单是否消失、“设置 > 时间和语言”中日期时间选项是否置灰
- 尝试运行 date 或 time 命令，应提示“拒绝访问”
