Windows 10/11专业版、企业版及教育版才原生支持软件限制策略（SRP），家庭版需升级或改用AppLocker；通过gpedit.msc创建路径规则可禁止%AppData%*.vbs、%TEMP%*.exe等高危脚本和程序执行，并须启用策略、强制更新后重启生效。
确认系统支持并启用软件限制策略功能
Windows 10/11专业版、企业版及教育版才原生支持组策略编辑器（gpedit.msc），家庭版默认不包含该组件，强行安装第三方补丁存在系统不稳定风险，【务必先在运行中输入 winver 确认版本】。
按 Win+R 输入 gpedit.msc → 若弹出“找不到文件”提示，则当前为家庭版，需升级系统或改用AppLocker（仅限企业版）替代方案。
创建基于路径的禁止规则
打开组策略编辑器 → 依次展开「计算机配置」→「Windows 设置」→「安全设置」→「软件限制策略」→「其他规则」。
右键「其他规则」→「新建路径规则」→ 在「路径」栏输入：%AppData%\*.vbs → 安全级别设为「不允许」→ 点击确定。
这一步会阻止所有位于用户 AppData 目录下的 VBS 脚本执行，覆盖绝大多数钓鱼邮件释放的脚本病毒落点。注意不要写成 %AppData%\**\*.vbs，通配符 ** 在SRP中不被识别，会导致规则完全失效。
封禁常见病毒释放目录
方法一：添加启动目录拦截
新建路径规则 → 路径填入：%UserProfile%\Start Menu\Programs\Startup\*.exe → 安全级别选「不允许」。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
方法二：阻断临时文件夹执行权限
新建路径规则 → 路径填入：%TEMP%\*.exe → 安全级别设为「不允许」。【此规则必须放在所有允许规则之后，否则会被前置的“默认安全级别”覆盖】。
方法三：精准打击已知恶意路径
新建路径规则 → 路径填入：C:\Users\Public\Downloads\*.scr → 安全级别设为「不允许」。.scr 文件常被伪装成图片或文档，实际是可执行的屏幕保护程序，是“银狐”木马常用投递格式。
启用并强制应用策略
第一步：在「软件限制策略」根节点右键 →「属性」→ 勾选「启用软件限制策略」→ 默认安全级别设为「不允许」。
第二步：回到「计算机配置」→「Windows 设置」→「安全设置」→ 右键「软件限制策略」→「全部刷新」。
第三步：以管理员身份打开命令提示符 → 执行：gpupdate /force → 等待提示“用户策略处理成功”和“计算机策略处理成功”。
第四步：重启电脑。SRP 规则仅在下次启动时生效，热加载不触发路径检查机制。
