必须通过组策略禁用IE代理设置来锁定普通域用户更改网络代理的权限：在用户配置下启用“阻止更改代理设置”，清理注册表残留，再强制刷新并验证代理界面灰化及netsh命令显示直接连接。
普通域用户在Win10中私自更改网络代理设置，会导致企业内网访问异常、安全策略失效或流量绕过审计系统，必须从组策略源头锁定该功能。
定位并禁用IE代理策略
代理设置实际由Internet Explorer策略控制，即使用户没装IE，该策略仍强制作用于整个系统代理栈：打开gpedit.msc → 用户配置 → 管理模板 → Windows组件 → Internet Explorer → 找到“阻止更改代理设置”。
双击该项，选择“已启用”，点击确定。这一步会直接冻结设置应用、Internet选项、命令行工具（如netsh winhttp set proxy）对代理的写入权限。
【注意：此策略必须在用户配置下启用，若误设在计算机配置中将不生效】
同步清理注册表级残留控制
部分域策略可能已通过注册表下发，需手动校验并覆盖：
按Win+R输入regedit → 导航至HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings → 检查ProxyEnable、ProxyServer、ProxyOverride等键值是否存在。
若存在，右键删除整项；若无权删除，说明当前用户受域策略保护，跳过此步即可。
这一步能清除旧策略残留，避免与新组策略冲突导致代理界面反复变灰又恢复。
验证并强制刷新策略
第一步：以目标域用户身份登录测试机，打开设置→网络和Internet→代理，确认所有开关均为灰色且不可点击。
第二步：管理员权限运行cmd，执行gpupdate /force → 等待提示“用户策略处理成功”。
第三步：注销当前用户，重新登录，再次验证代理界面是否完全锁定。
第四步：尝试运行netsh winhttp show proxy，输出应为“当前 WinHTTP 代理设置：直接连接（无代理）”。
