需组合启用五项策略：一、设置获取应用位置为“仅microsoft store”；二、启用smartscreen安装级检查；三、组策略禁用windows installer用户安装；四、组策略禁用脚本执行；五、卸载非商店可信来源应用。
如果您希望在 Windows 11 中启用“应用安全安装保护模式”，强制系统仅允许从 Microsoft Store 安装软件，以显著提升对恶意安装行为的防御能力，则需组合启用多项底层策略。该模式通过限制安装入口、强化签名验证、禁用绕过通道及清理已有风险组件，构建纵深防护体系。以下是多种独立生效且可协同部署的具体操作步骤：
一、将系统获取应用位置设为“仅 Microsoft Store”
此设置直接拦截所有非商店来源的图形化安装请求（如双击 .exe/.msi 文件），触发明确拒绝提示，是面向所有用户的最基础安装门控机制。
1、按下键盘 Win 键，点击任务栏左下角的 Windows 开始图标。
2、在开始菜单中，点击设置（齿轮图标）。
3、在设置窗口左侧边栏中，点击应用。
4、在右侧页面中，点击应用和功能。
5、向下滚动至获取应用的位置区域，点击其右侧的下拉箭头。
6、从选项中选择仅Microsoft Store（推荐）。
二、启用 Windows 安全中心 SmartScreen 安装级实时检查
SmartScreen 在安装行为发生前比对文件哈希与云端信誉库，并验证数字签名有效性，可拦截已绕过界面限制的可疑安装包，构成动态验证防线。
1、打开设置 > 隐私和安全性 > Windows 安全中心。
2、点击应用与浏览器控制。
3、在“基于声誉的保护”区域，确保检查应用和文件处于开启状态。
4、点击基于声誉的保护设置，确认在应用安装时进行检查已启用。
三、通过组策略禁用 Windows Installer 用户安装权限
该策略关闭系统级安装服务（msiexec）的用户调用接口，即使拥有管理员权限，也无法通过命令行、PowerShell 或静默参数执行外部 MSI 安装，彻底阻断自动化绕过路径。
1、按下 Win + R 打开运行窗口，输入gpedit.msc并回车（仅限专业版/企业版/教育版）。
通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。
2、依次展开路径：计算机配置 > 管理模板 > Windows 组件 > Windows Installer。
3、在右侧找到并双击禁止用户安装策略。
4、勾选已启用，并在下方选项中选择隐藏用户安装。
5、点击确定保存设置。
四、在组策略中禁用脚本执行能力
PowerShell、CMD 及批处理脚本常被用于绕过图形界面限制并调用安装逻辑，禁用脚本执行可切断此类高隐蔽性安装通道。
1、再次打开gpedit.msc（同上）。
2、依次展开路径：计算机配置 > 管理模板 > 系统 > 脚本。
3、在右侧双击关闭脚本执行。
4、勾选已启用，点击确定。
五、卸载已安装的非商店可信来源应用
该步骤清除存量风险，避免已安装的未签名、未知发布者或本地打包应用成为后续攻击跳板，确保防护策略从干净基线启动。
1、打开设置 > 应用 > 已安装的应用。
2、点击右上角排序方式，选择安装日期。
3、逐项检查列表，识别发布者为未知、未签名或来自此设备的应用。
4、对每个目标应用，点击右侧三个点，选择卸载。
5、在弹出确认框中点击卸载完成移除。
