应使用“只运行指定的Windows应用程序”策略：1.打开gpedit.msc；2.导航至用户配置→管理模板→系统；3.启用该策略并逐行输入允许的.exe文件名（如chrome.exe、notepad.exe）；4.注销重登生效。
Win10系统需严格限制软件运行范围，仅允许IT部门预审通过的办公软件、浏览器和内部工具执行，防止员工私自安装游戏、破解工具或未知来源程序。
使用组策略编辑器启用应用白名单（专业版/企业版）
该方法直接拦截所有未列名的.exe文件启动请求，系统级生效，普通用户无法绕过。
1、按 Win + R 输入 gpedit.msc → 回车打开本地组策略编辑器。
2、依次展开：用户配置 → 管理模板 → 系统 → “不要运行指定的Windows应用程序”。
3、双击该项 → 勾选“已启用” → 点击“显示”按钮。
4、在弹出窗口的“值”栏中，【逐行输入允许运行的程序完整文件名（必须含.exe扩展名）】，例如：
chrome.exe
notepad.exe
winword.exe
outlook.exe
teams.exe
注意：每行一个，不可空行，不可加路径，只写可执行文件名；漏输一个，对应软件将完全无法启动。
5、点击“确定”保存 → 注销当前用户并重新登录，策略立即生效。
家庭版替代方案：修改注册表启用DisallowRun白名单
家庭版没有组策略编辑器，但可通过注册表实现相同效果，操作前请先导出备份对应键值。
方法一：手动添加白名单列表
1、按 Win + R 输入 regedit → 以管理员身份运行注册表编辑器。
2、导航至：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
3、若右侧无 DisallowRun DWORD 值，则右键空白处 → 新建 → DWORD (32位) 值 → 命名为 DisallowRun → 双击设数值数据为 1。
4、在同一位置右键 → 新建 → 字符串值 → 命名为 1 → 双击编辑，数值数据填入第一个允许程序名，如 chrome.exe。
5、继续新建字符串值，命名为 2 → 填入 notepad.exe；依此类推，每个允许项占一个编号字符串，编号必须连续且从1开始。
6、关闭注册表编辑器 → 重启资源管理器（任务管理器 → 找到“Windows资源管理器” → 右键“重新启动”）或直接注销重登。
验证白名单是否生效
尝试双击任意未列入白名单的.exe文件（如下载目录里的test.exe），系统会直接弹出提示：“此应用已被系统管理员阻止”。
已列入白名单的程序可正常启动，包括其调用的子进程（如chrome.exe启动的renderer.exe）。
