核心是导出含明文密钥的xml配置并导入gpo无线策略：需在已连通设备上执行netsh wlan export profile key=clear，验证有效且false，精简xml后通过gpo“无线网络(ieee 802.11)策略”导入，设首选顺序并禁用开放热点自动连接，客户端需gpupdate /force及重启生效。
在域环境中，用组策略（gpo）让全网终端自动连接指定办公wi-fi，核心是把已验证的无线配置以安全、可复用的方式批量部署。关键不在“能不能连”，而在“连得稳、连得准、连得无声无息”——用户开机或登录后即接入，无需点击、无需输密、不弹提示。
导出带明文密码的Wi-Fi配置XML
必须从一台已成功连接目标办公Wi-Fi的Windows设备上导出，且确保密码包含在内：
- 以管理员身份运行命令提示符，执行：
netsh wlan export profile name="Office_WiFi" folder=C:\temp key=clear - 检查导出的Wi-Fi-Office_WiFi.xml：确认
<keymaterial></keymaterial>节点里有真实密钥，且<protected>false</protected> - 精简XML：删掉
<connectionmode></connectionmode>以外的冗余字段（如<useonex></useonex>若非802.1X环境可移除），避免GPO解析冲突
创建并配置无线网络GPO策略
在域控制器的“组策略管理控制台”（GPMC）中操作：
- 新建GPO（例如命名Deploy_OfficeWiFi），链接到目标OU（如“Workstations”或“Laptops”）
- 编辑GPO → 计算机配置 → 策略 → Windows设置 → 安全设置 → 无线网络（IEEE 802.11）策略
- 右键“无线网络策略” → 新建无线网络策略 → 勾选“启用此策略”和“在此策略中启用所有用户配置文件”
- 点击“添加”→“从XML文件导入”，选择刚才导出的XML文件
- 在策略属性中：
• 勾选“允许用户手动连接到其他网络”（按需保留灵活性）
• 设置“首选网络顺序”，把该办公Wi-Fi拖到最顶部，确保优先匹配
关闭干扰性自动连接行为
防止终端被开放热点、联系人共享网络等“抢连”，干扰办公Wi-Fi的稳定接入：
- 同一GPO路径下（计算机配置 → 管理模板 → 网络 → WLAN服务 → WLAN设置），找到策略：
允许Windows自动连接到建议的开放热点、联系人共享的网络以及提供付费服务的热点 - 将其设为已禁用 —— 这会一并关闭WLAN感知相关功能，避免非预期连接
- 如需更彻底控制，可在同一位置启用“禁止用户配置新的无线网络”，仅保留GPO下发的配置
验证与排错要点
部署后不是“一推了之”，需关注几个实际生效环节：
- 客户端需执行
gpupdate /force并重启，或等待默认刷新周期（通常90分钟） - 检查客户端是否已接收配置：
netsh wlan show profiles应列出该办公Wi-Fi；netsh wlan show profile name="Office_WiFi" setting=security可确认密钥是否已载入 - 若仍无法自动连接，检查本地安全策略：
“网络访问：不允许存储用于网络身份验证的密码和凭据”必须为禁用（路径：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项） - 对于802.1X认证网络，XML中必须保留
<onex xmlns="http://www.microsoft.com/networking/OneX/v1"></onex>完整结构，并确保证书信任链已通过GPO同步到位
