策略设置强制覆盖且自动回滚，首选项仅设默认值且不清理；前者用于安全合规控制，后者适用于自动化体验配置。
策略设置强制覆盖，首选项只设默认值
策略设置一旦启用，用户无法在本地更改——比如禁用注册表编辑器、强制密码必须包含大小写字母和数字、关闭usb存储设备。系统每次启动或登录都会重新校验并强制写入注册表对应路径，即使用户手动改回去，下次刷新又会覆盖。gpupdate /force 后立刻生效，且不依赖客户端扩展版本。
首选项则完全不同：它只“设一次默认值”，比如用映射网络驱动器创建 Z: 指向 \servershare，用户之后可以右键断开、重映射为其他路径、甚至直接删掉盘符，系统不会干预。它不监控注册表变化，也不主动清理残留。
常见错误现象：
- 误用首选项部署安全控制（如禁用CMD），结果用户双击就能打开；
- 用策略设置去配OneDrive同步路径，发现根本找不到对应策略项——这类属于首选项专属场景；
- 删除GPO后，首选项配置仍顽固存在，而策略类设置已自动回退。
首选项支持变量和条件筛选，策略靠WMI或安全组
首选项原生支持%username%、%computername%、%logonserver% 等环境变量，还能在单个条目里设置“项目级筛选”：比如仅对Finance安全组成员部署某台打印机，或仅当OSVersion匹配 Windows 10 时执行某条注册表写入。
策略设置本身没有内置变量机制，想做条件应用，只能依赖外部手段：
- WMI筛选（如
SELECT * FROM Win32_OperatingSystem WHERE Version LIKE "10.0%"）； - 安全组筛选（需提前将目标计算机/用户加入特定组）；
- OU层级隔离（最常用但粒度粗）。
注意：项目级筛选 是首选项独有的能力，策略设置的“已启用/已禁用/未配置”三种状态无法表达“对A组生效、对B组不生效”的逻辑。
首选项不自动清理，策略多数能自我回滚
这是最容易被忽略的运维陷阱。当一个通过首选项部署的计划任务、环境变量 或 文件复制 条目被移除或GPO取消链接，客户端不会自动删除已写入的内容。比如你用首选项部署了桌面快捷方式 Notepad++.lnk，后来删掉该GPO，快捷方式依然留在用户桌面。
策略设置则不同：大多数托管策略（如密码必须符合复杂性要求、账户锁定阈值）在GPO失效后会自动从注册表中清除对应键值，因为它们作用于Windows监控的四个注册表区域（HKLMSoftwarePolicies、HKLMSoftwareMicrosoftWindowsCurrentVersionPolicies 等）。
但要注意例外：
- 部分旧版“非托管策略”（如某些IE安全区域设置）可能残留；
- 首选项若使用
替换模式而非默认的更新模式，删除GPO后也不会清理； - 所有首选项操作都依赖
Group Policy Preferences Client Side Extension，Win7及以上原生支持，XP/Vista需手动打补丁。
选错类型会导致权限失控或配置漂移
安全合规类必须用策略设置：账户锁定策略、审核策略、远程桌面访问控制、软件限制策略。这些不是“建议”，而是强制边界，一旦用首选项替代，等于放弃管控权。
自动化体验类优先用首选项：部署打印机、映射驱动器、配置PowerShell登录脚本、修改hosts文件、设置PATH环境变量。它们追求的是“开箱即用”，允许用户后续按需调整。
容易踩的坑：
- 在域控制器上用首选项修改
HKLMSYSTEMCurrentControlSetServicesNTDSParameters类关键注册表项，结果GPO失效后配置残留，引发AD复制异常； - 把
文件夹重定向误当成首选项来配——它实际属于策略设置，且必须用“已启用”状态，否则不会生效； - 跨平台部署时没验证首选项兼容性，导致Win10能跑的
XML文件编辑操作，在Win7上直接报错0x80070002。
真正难处理的从来不是怎么配，而是配完之后没人记得它不会自己消失。首选项的“不清理”特性在批量初始化时很省事，但在长期运维中，就是一堆静默残留的定时炸弹。
