彻底禁用Temp目录可执行权限需三步：一以管理员身份运行命令提示符；二执行icacls命令拒绝当前用户对%TEMP%的执行与写入权限；三验证权限生效。同时配合注册表禁用MSI从Temp加载、启用SmartScreen深度拦截，形成多层防护。
Win11系统中，C:Users用户名AppDataLocalTemp（即%TEMP%）目录常被恶意安装包、钓鱼程序或静默下载器用作临时解压和执行入口，双击运行其中的.exe或.msi文件极易绕过常规策略造成感染。该目录默认具有用户完全控制权限，且Windows不对其内执行行为做来源校验，必须主动切断其作为安装跳板的能力。
彻底禁用Temp目录的可执行权限
第一步：以管理员身份运行命令提示符或PowerShell。
第二步：执行以下命令，移除当前用户对%TEMP%目录的“执行”与“写入”组合权限——这是最关键的一步，仅禁写无法阻止已存在的恶意exe运行，必须同时剥夺执行权：
icacls "%LOCALAPPDATA%Temp" /deny "%USERNAME%:(X,W)" /t /c
第三步：验证权限是否生效。进入资源管理器地址栏粘贴：%LOCALAPPDATA%Temp → 回车 → 右键任意.exe文件 → 属性 → 安全 → 选择你的用户名 → 查看下方权限列表。若“执行”和“写入”两项显示为“拒绝”，则设置成功。【若仍显示“允许”，说明未以管理员身份运行命令，需重做】
配合注册表关闭Temp路径自动调用链
方法一：阻断Windows Installer从Temp加载安装包
按下Win + R，输入regedit并回车 → 导航至HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsInstaller → 新建DWORD(32位)值，命名为DisableMSIFromTemp → 双击设数值数据为1（十进制）→ 重启生效。
方法二：禁止系统服务在Temp中创建可执行缓存
在相同注册表路径下（HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsInstaller），再新建一个DWORD值，命名为SafeModeOnly → 设为1 → 此设置强制所有Installer操作仅在安全模式下允许，普通用户会直接收到“安装被策略阻止”提示。
启用SmartScreen深度拦截Temp内安装行为
第一步：打开设置 → 隐私与安全性 → Windows 安全中心 → 应用与浏览器控制。
第二步：确保“检查应用和文件”处于开启状态 → 点击“基于声誉的保护设置” → 开启“在应用安装时进行检查”和“在脚本运行时进行检查”。
第三步：关键补充操作——在相同页面下拉至“攻击面减少规则”，点击“管理RAS规则” → 找到“阻止来自电子邮件附件和Web下载的可执行内容” → 将其状态设为“开启（强制）”。【此规则会主动扫描Temp目录中刚写入的.exe/.msi文件，并在双击前触发信誉拦截，是唯一能实时捕获零日安装包的机制】
