必须在数据离开本机前切断复制路径：①禁用剪贴板与拖拽功能；②组策略封锁外发渠道；③部署域智盾实现行为级拦截；④浏览器插件强制水印与截屏阻断。
要防止电脑通过网络传输（如邮件附件、网盘上传、微信/QQ发送、浏览器拖入上传框等）把敏感文件悄悄拷走，必须在数据离开本机前就切断复制路径，而不是等文件到了对方手里再补救。
禁用剪贴板与拖拽功能（阻断最常用粘贴/拖入动作）
这一步直接让Ctrl+C/V、右键复制、鼠标拖文件到浏览器/聊天窗口全部失效，适用于单机快速生效场景。
按Win + R打开运行框，输入regedit→回车进入注册表编辑器。
导航至HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer。
若该路径不存在，右键Explorer→新建→项→命名为“DisabledHotkeys”；再右键该新项→新建→字符串值→命名为“NoDriveTypeAutoRun”；双击它，将数值数据设为“0xff”→确定。
【关键前提】必须以当前登录用户身份操作，切换账户后不生效；修改后无需重启，注销当前用户再登录即启用。
组策略封锁主流外发渠道（域环境批量部署）
适合企业IT管理员统一管控所有加入域的终端，覆盖Outlook邮件、微信桌面版、钉钉、百度网盘、Chrome/Firefox上传控件等高频泄密入口。
第一步：在域控制器上打开“组策略管理控制台”（gpmc.msc）→新建GPO并链接至目标OU。
第二步：编辑该策略→计算机配置→管理模板→系统→Internet通信管理→Internet通信设置→启用“关闭Windows中的Internet通信”。
第三步：用户配置→管理模板→Windows组件→文件资源管理器→禁用“在文件资源管理器中显示共享文件夹”和“在文件资源管理器中显示‘发送到’菜单”。
第四步：针对浏览器上传行为，在同一策略下→用户配置→管理模板→Google→Chrome→内容设置→文件下载→启用“阻止所有文件下载”，再启用“禁止通过拖放上传文件”。
部署域智盾实现网络行为级拦截
这是唯一能识别“用户正试图把加密文档拖进微信对话框”并实时弹窗拦截的方案，不是简单禁用某个软件，而是监控具体动作意图。
方法一：安装域智盾客户端后，登录管理后台→进入“外发控制”模块→勾选“禁止通过以下方式外发受保护文件”→全选微信、QQ、钉钉、Outlook、网页邮箱、百度网盘、OneDrive等12类渠道。
方法二：在同页面开启“智能识别上传动作”→当检测到鼠标拖拽文件进入任意浏览器标签页的区域时，立即冻结光标并弹出提示：“该文件受保护，禁止上传”。注意：此功能依赖客户端驱动层Hook，普通用户无法卸载或绕过。
方法三：启用“HTTP/HTTPS上传内容扫描”→对所有POST请求体做关键词匹配（如“合同”“报价单”“源代码”），命中即拦截并记录完整URL与时间戳。
浏览器插件级强制水印与截屏阻断
当员工必须通过网页访问内部系统并下载报表时，仅靠禁用上传远远不够——他们可能截图、另存为PDF、打印转图。这一步专治这类“合法操作下的非法留存”。
在Chrome或Edge中安装官方发布的“域智盾网页水印插件”→插件自动注入所有已配置保护域名的页面。
打开需防护的网页（如OA系统报表页），右键检查元素→确认页面DOM中已插入
此时尝试使用Snipaste、微信截图、QQ截图工具，全部触发“截图被拒绝”弹窗；打印操作会自动在每页右下角叠加动态水印（含工号+时间+IP）。
【不可逆操作】插件一旦启用，所有受保护页面的Canvas渲染、MediaRecorder录屏、DevTools截图均被内核级屏蔽，卸载插件后水印逻辑仍驻留浏览器沙箱中30分钟。
