应通过组策略禁用“禁止用户安装”并设为已启用，同时启用“始终以非管理员身份安装”，再重置msiserver服务权限及msiexec.exe访问控制，辅以软件限制策略阻止用户目录下的可执行文件运行。
Windows系统中普通用户双击安装包就能静默提权安装软件，导致办公环境混乱、安全策略失效、甚至引入恶意程序，必须从系统底层切断这一路径。
通过组策略禁止普通用户运行安装程序
此方法适用于Windows专业版、企业版或教育版，对家庭版无效。它不删除安装包执行能力，而是拦截常见安装行为的触发机制。
第一步：按下 Win + R 键，输入 gpedit.msc，回车打开本地组策略编辑器。
第二步：依次展开左侧树形菜单：计算机配置 → 管理模板 → Windows组件 → Windows Installer。
第三步：在右侧双击“禁止用户安装”，设置为【已启用】→ 点击“确定”。【该策略生效后，普通用户双击.exe/.msi/.appx等安装包时将直接提示“此操作已被管理员阻止”】
第四步：继续在右侧找到“始终以非管理员身份安装”，双击设为【已启用】。这一步可防止部分安装包绕过UAC自动申请提权。
删除普通用户的“安装程序”执行权限
这是更底层的控制方式，直接剥夺其启动安装类进程的能力，连PowerShell调用Start-Process安装也会失败。
方法一：禁用Windows Installer服务对普通用户的响应
以管理员身份运行命令提示符，执行：
sc sdset msiserver D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)
这条命令重置msiserver服务的安全描述符，移除了INTERACTIVE USER（即普通用户登录会话）的连接权限。【执行后需重启服务：net stop msiserver && net start msiserver】
方法二：重设%SystemRoot%\System32\msiexec.exe的访问控制列表
右键点击 C:\Windows\System32\msiexec.exe → 属性 → 安全 → 编辑 → 选中“Users”组 → 勾掉“读取和执行”权限 → 确定。此操作会让所有基于MSI引擎的安装（包括Office、.NET、Visual C++运行库）对普通用户彻底不可用。
限制可执行文件类型与来源
仅靠禁止安装程序还不够——用户可能把绿色软件、便携版工具、自制脚本扔进桌面直接运行。需叠加白名单管控。
打开组策略编辑器（gpedit.msc），导航至：计算机配置 → Windows设置 → 安全设置 → 软件限制策略 → 新建策略。
右键“其他规则” → 新建路径规则 → 路径填写：%USERPROFILE%\Downloads\*.exe → 安全级别设为【不允许】。
再新建一条路径规则：%USERPROFILE%\Desktop\*.msi → 同样设为【不允许】。
最后新建哈希规则：右键“其他规则” → 新建哈希规则 → 浏览选择一个已知的常用安装包（如微信Setup.exe）→ 确认后该文件无论放在哪都会被拦截。这能覆盖用户改名、挪位置的绕过尝试。
