启用“可移动磁盘：拒绝写入权限”并禁用“可移动磁盘：允许执行”，可实现U盘只读且禁止运行可执行文件，普通用户无法绕过，策略生效后无需重启。
公司需要防止员工用U盘拷走敏感文档，又不能完全禁用U盘——比如财务要插U盘交报表、IT要传驱动包，这时候必须让U盘只能读、不能写，连复制粘贴、新建文件、格式化全被拦住，且普通用户无法自行绕过。
启用“可移动磁盘：拒绝写入权限”策略
打开组策略编辑器：按 Win + R，输入 gpedit.msc，回车。
依次展开路径：计算机配置 → 管理模板 → 系统 → 可移动存储访问。
在右侧找到并双击【可移动磁盘：拒绝写入权限】。
选择“已启用”→点击“确定”。这一步生效后，U盘插入时仍能正常显示盘符、打开文件夹、双击查看文档，但右键菜单里“新建文本文档”变灰，拖拽文件进去会弹出“拒绝访问”，复制本地文件到U盘直接失败——写入通路被系统级切断。
配套加固：关闭“可移动磁盘：允许执行”
仍在同一组策略路径下（计算机配置 → 管理模板 → 系统 → 可移动存储访问），双击【可移动磁盘：允许执行】。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
选择“已禁用”→点击“确定”。【不关此项，U盘里的exe、bat、scr等可执行文件仍能双击运行，可能被用于启动恶意脚本】
这步不是防拷贝，而是堵住“借读之名行执行之实”的后门——比如把带自运行病毒的PDF伪装成U盘里正常资料，用户一打开就中招。
强制策略立即生效（无需重启）
方法一：命令行刷新
以管理员身份运行终端，执行：
gpupdate /force
方法二：重启策略服务
运行 services.msc → 找到“Group Policy Client” → 右键“重新启动”。
插拔一次U盘即可验证：原U盘内文件可打开、可复制到电脑，但往U盘里复制任何东西都报错；同时U盘根目录下双击exe提示“此应用无法在你的电脑上运行”。
