电脑仅运行指定应用程序需配置系统级白名单：一、applocker（专业版/企业版）；二、“只运行指定windows应用”策略（兼容家庭版）；三、软件限制策略srp（家庭版替代方案）；四、防火墙出站规则禁联网；五、第三方终端管理平台集中部署。
如果您希望电脑仅运行指定的几个应用程序，防止员工或家庭成员随意安装、启动无关或风险软件，则需要配置系统级白名单策略。以下是多种兼容不同Windows版本与使用场景的白名单设置方法：
一、使用AppLocker创建可执行程序白名单（Windows专业版/企业版）
AppLocker是微软内置的应用控制组件，支持基于路径、发布者或文件哈希精确放行程序，适用于对安全性要求较高的办公环境。
1、按下 Win + R 键，输入 gpedit.msc 并回车，打开本地组策略编辑器。
2、依次展开：计算机配置 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker。
3、右键点击“可执行规则”，选择“创建默认规则”，为系统基础组件建立初始信任范围。
4、再次右键“可执行规则”，选择“新建规则”；在向导中选择“允许”→“下一步”→“路径”→“浏览”，定位并选中需放行的程序（如 C:\Program Files\WeChat\WeChat.exe）。
5、完成规则创建后，在AppLocker主界面确认“配置规则”已启用，并重启电脑生效。
二、启用“只运行指定的Windows应用程序”策略（兼容家庭版与专业版）
该策略位于用户配置路径，通过限制shell层可启动的.exe文件实现轻量级白名单控制，无需AppLocker支持，但需预置必要管理工具进程。
1、按 Win + R 输入 gpedit.msc 打开组策略编辑器。
2、导航至：用户配置 → 管理模板 → 系统 → 只运行指定的Windows应用程序。
3、双击该项，选择“已启用”，点击“显示”按钮。
4、在值列表中逐行输入允许运行的程序文件名，例如：WeChat.exe、chrome.exe、mmc.exe、cmd.exe（必须包含后者，否则无法再次打开组策略）。
5、点击“确定”保存，注销当前用户后重新登录，非列表内程序将无法启动。
三、通过软件限制策略（SRP）构建白名单（Windows家庭版可用替代方案）
软件限制策略虽为较旧机制，但在家庭版系统中仍可启用，通过哈希或路径规则定义允许项，配合“不允许”默认安全级别达成白名单效果。
1、按 Win + R 输入 gpedit.msc，打开组策略编辑器。
scratch编程软件电脑版是一款非常受欢迎的编程学习软件，它适用于8-16岁的孩子编程学习，通过图形编程来培养孩子的编程思想，让孩子能够快速的掌握编程知识，感兴趣的朋友不要错过了，欢迎大家下载体验。基本简介Scratch编程软件利用图形化界面，把编程需要的基本技巧囊括其中，包括建模，控制，动画，事件，逻辑，运算，等等。孩子非常容易掌握，而内涵一点都不简单。通过这个工具平台，孩子可以快速掌握编程技巧，充分发挥自己的想象力。功能介绍1.体系化课程，学习目标明确；2.教学方法成熟，保证学习效率；3.老师在线答
2、展开：计算机配置 → Windows 设置 → 安全设置 → 软件限制策略。
3、若右侧提示“未定义”，则右键空白处选择“创建软件限制策略”以初始化策略容器。
4、右键“其他规则”，选择“新建路径规则”；在路径栏输入允许程序的完整路径（如 C:\Windows\System32\notepad.exe），安全级别设为“不受限的”。
5、重复步骤4添加全部需放行程序；确保默认安全级别为“不允许”，所有未明确放行的程序将被拦截。
四、借助Windows Defender防火墙排除特定程序联网（辅助性白名单强化）
当白名单策略已部署，但需进一步阻止未授权程序尝试外联时，可通过防火墙出站规则切断其网络能力，形成双重约束。
1、打开“控制面板”→“系统和安全”→“Windows Defender防火墙”，点击左侧“高级设置”。
2、在左侧面板选择“出站规则”，右侧点击“新建规则”。
3、选择“程序”类型，点击“下一步”；点击“浏览”，定位到需保留在白名单中但禁止联网的程序（如 QQMusic.exe）。
4、选择“阻止连接”，点击“下一步”；勾选“域”、“专用”、“公用”全部网络类型。
5、为规则命名（如“白名单-禁QQ音乐联网”），点击“完成”。
五、利用第三方终端管理工具统一部署白名单（企业集中管控场景）
对于多台终端需同步策略的企业环境，依赖组策略逐台配置效率低下，推荐采用支持白名单模式的终端安全管理平台，实现策略下发、例外终端配置与冲突自动仲裁。
1、登录管理控制台，在导航栏进入“策略管理”→“软件安全”。
2、点击“添加”，在“基本信息”页填写策略名称，选择“白名单模式”，在“软件列表”中添加允许运行的程序名称或绝对路径（如 D:\Office\EXCEL.EXE）。
3、进入“应用对象”页，选择目标客户组；如需豁免某台设备，可在“例外终端”中填入其设备标识。
4、确认配置无误后点击“确定”，策略将在终端下次心跳通信时自动生效。
