是，workbuddy 进程可能被 gpo 的 software restriction policies 或 applocker 规则禁止启动；网络请求可能因代理、winhttp 或 tls 策略被阻断；安装包可能被 smartscreen 拦截；注册表项可能被 gpo 锁定或重置。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
WorkBuddy 进程是否被 GPO 策略禁止启动
Windows 组策略（GPO）可直接通过 Software Restriction Policies 或更现代的 AppLocker 规则阻止特定程序运行。若 WorkBuddy 启动即闪退、无日志、或报错 0x80070005（访问被拒绝），优先排查这两类策略。
实操建议：
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
- 在目标机器上以管理员身份运行
gpresult /h report.html，打开报告，重点查看「软件限制策略」和「AppLocker 策略」两节是否启用，以及是否有针对WorkBuddy.exe或其所在目录（如C:\Program Files\WorkBuddy\）的拒绝规则 - 若使用 AppLocker，检查事件查看器中
Applications and Services Logs > Microsoft > Windows > AppLocker > EXE and DLL日志，筛选“事件 ID 8004”，该事件明确记录被拦截的进程路径与触发的规则名 - 注意：AppLocker 规则对哈希、发布者、路径三类条件敏感——即使你替换了新版
WorkBuddy.exe，旧哈希规则仍可能生效；而路径规则若写成C:\Program Files\WorkBuddy\*，会匹配所有子文件
WorkBuddy 的网络请求是否被 GPO 阻断
GPO 本身不直接过滤 HTTP 请求，但可通过部署代理策略、禁用 WinHTTP、或配合防火墙策略间接干扰。典型现象是界面卡在“正在连接”、API 返回 ERR_CONNECTION_REFUSED 或超时，但本地 ping 服务端 IP 正常。
实操建议：
- 检查组策略对象中是否配置了强制代理：
Computer Configuration > Administrative Templates > Windows Components > Internet Explorer > Make proxy settings per-machine若启用且代理不可达，WorkBuddy 基于 IE/Edge 内核的网络栈将失败 - 运行
netsh winhttp show proxy，确认系统级代理设置是否被 GPO 覆盖（winhttp设置独立于 IE，部分 .NET 应用默认使用它） - 若 WorkBuddy 使用 TLS 1.2+，需确认 GPO 是否禁用了对应协议：检查
Computer Configuration > Administrative Templates > Network > SSL Configuration Settings中的SSL Cipher Suite Order是否移除了TLS_ECDHE_*系列套件
WorkBuddy 安装包是否被 GPO 标记为“未签名”而拦截
从 Windows 10 1607 起，GPO 可启用 Device Guard 或 SmartScreen 策略，对未签名或非企业证书签名的安装包（如 WorkBuddy_Setup.msi 或 WorkBuddy_Installer.exe）直接阻止执行，用户双击后无响应或弹出“已阻止此应用”的灰色提示。
实操建议：
- 检查
Computer Configuration > Administrative Templates > Windows Components > Windows Defender SmartScreen > Explorer下的Configure Windows Defender SmartScreen是否设为“启用”且策略级别为“警告”或“阻止” - 右键安装包 → “属性” → “数字签名”页签，确认签名是否存在、是否由受信 CA 颁发、是否在有效期内；若签名时间早于系统时间（如证书过期），GPO 可能拒绝加载
- 临时绕过验证仅用于诊断：以管理员身份运行
Set-ExecutionPolicy RemoteSigned -Scope LocalMachine（PowerShell），但生产环境切勿长期开启
WorkBuddy 所需注册表项是否被 GPO 锁定或重置
WorkBuddy 常依赖注册表（如 HKEY_LOCAL_MACHINE\SOFTWARE\WorkBuddy）保存配置或许可状态。GPO 中的「首选项」或「策略设置」可能将其设为只读、删除值、或强制覆盖为默认值，导致每次启动都重置登录态或报错 RegOpenKeyEx failed: 5。
实操建议：
- 打开
gpedit.msc，导航至Computer Configuration > Preferences > Windows Settings > Registry，查找是否包含针对WorkBuddy相关路径的「更新」「删除」或「创建」操作 - 对比正常机器与问题机器的注册表权限：右键目标键 → “权限” → 检查
SYSTEM和Administrators是否有“完全控制”，而Users是否被显式拒绝“写入” - 若 GPO 使用“策略模式”（而非“首选项模式”）配置注册表，修改将被每 90 分钟强制同步一次，手动改完立刻会被还原——此时必须调整 GPO 本身，而非本地修复
rsop.msc 看最终结果集。
