普通用户能关机是因为“关闭系统”权限被误授；需在secpol.msc中移除其账户或所属组（如Users），保留Administrators组，设置立即生效；锁屏界面关机按钮还需通过gpedit.msc或注册表禁用“关机：允许系统在未登录的情况下关闭”。
windows 默认只允许 administrators 组成员本地关机，普通用户默认无此权限。若发现普通用户能关机，说明“关闭系统”权限已被误授；要限制其关机能力，核心操作是从该权限列表中移除目标账户或组，而非添加。
确认当前谁拥有关机权限
按 Win + R 输入 secpol.msc → 左侧展开“本地策略”→“用户权限分配”→ 双击右侧“关闭系统”。查看已添加的用户或组（如 Users、Everyone、具体用户名等）。只要普通用户或其所属组（如 Users）出现在列表中，就具备本地关机能力。
移除不需要的账户或组
在“关闭系统”属性窗口中：
- 选中不需要关机权限的条目（例如 Users 组或某标准用户名）
- 点击“删除”按钮
- 确保 Administrators 组仍保留在列表中（维持管理员正常操作）
- 点击“确定”保存
该设置立即生效，无需重启。下次以该普通用户登录后，开始菜单电源按钮将变灰或点击无效，Alt+F4 也无法触发关机对话框。
验证限制是否生效
以被限制的普通用户身份登录：
- 尝试点击开始菜单 → 电源 → 关机
- 运行命令提示符，输入
shutdown /s /t 0（无需管理员权限，系统会拒绝并提示“拒绝访问”） - 检查 Ctrl+Alt+Delete 登录界面右下角是否已无电源按钮（该界面受另一策略控制，见下文补充）
补充：锁屏/未登录界面的关机按钮需单独处理
本地安全策略中的“关闭系统”权限不控制锁屏界面的电源按钮。若需禁用未登录状态下的关机入口，还需额外配置：
- 打开
gpedit.msc→ 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 - 找到“关机：允许系统在未登录的情况下关闭”，设为“已禁用”
- 或通过注册表路径
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System新建 DWORD 值DisableLogoffUI，设为1
完成这两步，才能真正覆盖本地交互式关机的所有常见入口。
