必须通过系统原生账户机制与权限策略组合配置：1.用“设置”分配标准/管理员账户类型；2.用gpedit.msc精细控制功能权限；3.用secpol.msc锁定登录与网络访问边界并强制密码。
要在同一台Windows电脑上为不同用户分配互不干扰的权限，确保各自无法修改他人文件、安装系统级软件或更改关键设置，必须通过系统原生账户机制与权限策略组合配置。
通过“设置”应用快速分配基础账户类型
这是最直观、适合家庭和普通办公场景的操作路径，全程图形化，无需命令行。
1、按下Win + I打开“设置”应用。
2、点击左侧“账户”，再点击右侧“其他用户”（Windows 11）或“家庭和其他用户”（Windows 10）。
3、在用户列表中找到目标账户名称，点击它。
4、点击下方“更改账户类型”链接，弹出权限选择窗口。
5、勾选“管理员”或“标准用户”后点击“确定”。【标准用户无法安装驱动、修改组策略、访问其他用户的AppData目录】
用本地组策略编辑器精细控制功能级权限
适用于Windows专业版及以上系统，可单独授权某用户执行关机、备份、远程桌面等特定操作，不依赖账户类型全局限制。
方法一：允许指定用户远程登录
1、按Win + R，输入gpedit.msc回车，打开本地组策略编辑器。
2、依次展开：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配。
3、双击右侧“允许通过远程桌面服务登录”。
4、点击“添加用户或组”，输入用户名→“检查名称”→确认。若该用户未出现在列表中，远程桌面连接将直接被拒绝。
方法二：禁止标准用户更改系统时间
1、在同一“用户权限分配”列表中，双击“更改系统时间”。
2、点击“删除”移除“Users”组，仅保留“Administrators”组。
3、点击“添加用户或组”，手动加入需要授予权限的特定账户名。
通过安全策略锁定本地与网络访问边界
这一步决定用户能否从键盘鼠标直接登录、能否通过局域网访问本机资源，是多用户环境安全隔离的底层防线。
第一步：确保目标用户具备本地登录资格
1、按Win + R，输入secpol.msc回车，打开本地安全策略。
2、展开左侧“本地策略”→“用户权利指派”。
3、双击“允许本地登录”，确认目标用户名已列在右侧成员列表中；若无，点击“添加用户或组”手动加入。
第二步：收紧网络访问权限
1、在同一界面中，双击“从网络访问此计算机”。
2、点击“全部清除”，然后仅添加明确需要SMB共享、远程注册表等网络服务的账户。
3、【禁用“Guest”账户并关闭“网络访问: 本地账户的共享和安全模式”中的“仅来宾”选项，否则未授权用户可能以空密码身份绕过验证】
第三步：启用密码强制策略
1、在“安全选项”中，启用“账户: 限制本地账户使用空白密码登录”。
2、该设置生效后，所有本地账户必须设置非空密码，否则无法通过任何方式（包括本地登录和网络访问）进入系统。
