应分策略组合实施：首选AppLocker按用户/组设拒绝规则（支持路径、发布者、哈希），其次用软件限制策略建哈希规则防篡改，辅以用户级黑名单策略作临时管控，并叠加NTFS权限与注册表锁定加固。
要在Windows系统中通过组策略禁止运行指定的黑名单软件，必须明确目标用户范围、避开家庭版限制、防止规则被绕过，并确保策略在正确配置层级生效。该操作不修改文件本身，仅拦截启动行为，卸载或重装软件不会影响策略持续性。
启用用户级程序黑名单（专业版/企业版适用）
该方法只作用于被限制用户的登录会话，不影响管理员账户和其他用户，适合家庭、办公室单机或多用户隔离场景。
1、按 Win + R 输入 gpedit.msc → 回车，打开本地组策略编辑器。【注意：Windows家庭版不支持此功能，跳至注册表方案】
2、依次展开左侧树形目录：用户配置 → 管理模板 → 系统。
3、在右侧双击打开“不要运行指定的Windows应用程序”策略项。
4、勾选“已启用”，点击“显示”按钮。
5、在弹出窗口的“值”框中，每行输入一个要禁用的程序完整文件名（含.exe后缀），例如：
steam.exe
wechat.exe
chrome.exe
大小写不敏感，但不能带路径、不能加引号、不能写通配符。若误填成 C:\Program Files\WeChat\WeChat.exe 或 WeChat，规则将完全失效。
6、点击“确定”保存 → 注销当前用户 → 以被限制的用户身份重新登录，策略立即生效。资源管理器重启或切换用户会话无效，必须完整注销再登录。
部署AppLocker拒绝规则（高精度防绕过）
当用户可能复制程序、改名、从U盘运行同一软件时，仅靠文件名拦截会彻底失效。AppLocker基于路径、发布者或哈希识别，是企业环境中首选的黑名单加固手段。
方法一：按用户或用户组设置拒绝路径规则
1、在GPMC中编辑目标OU关联的GPO（域环境），或在本地组策略中导航至：计算机配置 → 策略 → 应用程序控制策略 → AppLocker → 可执行规则。
2、右键“可执行规则” → “创建新规则” → 第一页点“下一步” → 第二页选择“拒绝” → 第三页选“用户或组”，点击“浏览”添加具体账户（如 DOMAIN\Students）。
3、第四页选择“路径”条件 → 点击“浏览”定位到目标程序绝对路径（如 C:\Program Files\Tencent\QQ\Bin\QQ.exe）→ 完成命名后点击“创建”。
4、首次部署前，务必先将策略设为“审核模式”，通过事件查看器（应用程序和服务日志 → Microsoft → Windows → AppLocker → EXE and DLL）确认拦截日志准确无误，再切为“强制模式”。【跳过审核直接启用可能导致业务中断且无法回溯】
补充：注册表DisallowRun兼容方案（家庭版可用）
Windows家庭版无法使用gpedit.msc，但可通过注册表实现相同效果。该方式原理是让系统启动前检查白名单，未列明的.exe一律拦截，需严格遵循键值命名规范。
1、按 Win + R 输入 regedit → 回车，以管理员身份运行注册表编辑器。
2、导航至：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer。
3、若右侧无 DisallowRun 项，右键空白处 → 新建 → DWORD (32位) 值 → 命名为 DisallowRun → 双击将其数值数据设为 1。
4、再次右键 Explorer 项 → 新建 → 项 → 命名为 DisallowRun（这是新建同名子项，不是修改刚才的DWORD）。
5、在新建的 DisallowRun 子项内，右键 → 新建 → 字符串值，命名为 1，双击编辑其数值数据，填入要禁止的程序名（如 lol.exe）；第二个程序新建字符串值 2，填 minecraft.exe ——序号必须为纯数字、连续、不可跳号、不可重复，否则整条规则失效。
