AppLocker白名单需启用Application Identity服务、创建默认规则、按发布者/路径/哈希添加允许规则、设为强制执行并刷新策略。
要让Windows电脑只运行你批准的几个程序，比如教学机只开浏览器和课件软件、前台终端仅允许业务系统客户端，必须启用系统级白名单策略，否则任何用户双击.exe文件都能启动。
用AppLocker创建精准可执行白名单（推荐）
这是最可靠的方式，支持按发布者签名、安装路径或文件哈希放行，且默认拒绝所有未明确允许的程序，包括U盘和下载目录里的exe。
第一步：确保Application Identity服务已启用并运行。按Win+R输入services.msc，找到“Application Identity”，右键→属性→启动类型设为“自动”，点击“启动”按钮。
第二步：按Win+R输入gpedit.msc回车，导航至：计算机配置 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker。
第三步：右键“可执行规则”→“创建默认规则”。这会自动放行系统核心组件（如cmd.exe、powershell.exe），避免锁死自己。
第四步：再次右键“可执行规则”→“创建新规则”，向导中选择“允许”→下一步→选条件：若软件有微软签名（如Chrome、Edge），选“发布者”最稳定；若为内部部署软件（如WPS、定制客户端），选“路径”并填入C:\Program Files\MyApp\*；若只是单个无签名小工具，选“文件哈希”并浏览定位该exe文件。
第五步：规则创建完成后，在AppLocker主界面右侧确认“配置规则”已启用，勾选“强制执行”，然后以管理员身份运行命令提示符，执行gpupdate /force刷新策略。重启后，不在白名单中的程序双击即报错“此应用已被系统管理员阻止”。
用组策略“只运行指定Windows应用程序”快速启用（兼容家庭版）
该策略位于用户配置层级，无需AppLocker支持，但仅校验程序文件名（不含路径），适合轻量管控场景。
按Win+R输入gpedit.msc回车，导航至：用户配置 → 管理模板 → 系统 → 只运行指定的Windows应用程序。
双击该项，选择“已启用”，点击“显示”按钮。
在值列表中逐行填入允许运行的【程序完整文件名，必须含.exe扩展名】，例如：
chrome.exe
weixin.exe
notepad.exe
mmc.exe
cmd.exe
PowerShell.exe
【务必加入cmd.exe和PowerShell.exe，否则策略启用后将无法再打开组策略编辑器或执行任何命令行操作】
点击“确定”保存，注销当前用户后重新登录，非列表内程序将无法启动，连开始菜单搜索也无法调出。
用软件限制策略SRP兜底（家庭版可用替代方案）
当系统不支持AppLocker（如Windows家庭版）又需要比组策略更精细的控制时，SRP可通过路径或哈希建立白名单，但需手动初始化策略容器。
方法一：按Win+R输入gpedit.msc回车，导航至：计算机配置 → Windows 设置 → 安全设置 → 软件限制策略。
若右侧显示“未定义”，则右键空白处→“创建软件限制策略”——这一步不可跳过，否则后续无法添加规则。
方法二：右键“可执行规则”→“新建规则”，向导中选择“路径规则”，点击“浏览”，定位到目标程序安装目录（如C:\Program Files\Tencent\WeChat\WeChat.exe），注意路径末尾不要加*，否则可能误放整个目录下所有exe。
方法三：右键“安全级别”→“属性”，确认默认安全级别为“不允许”，这是白名单生效的前提；再双击“其他策略”，确保“强制”指向“所有软件文件”。
