windows无原生gpo策略直接设jpg/png为屏保，需部署合法.scr程序（如photoscreensaver），通过gpo分发文件、配置注册表encryptedpidl、启用屏保策略并绕过smartscreen拦截。
直接用gpo下发“屏保图片”不可行——windows系统没有原生策略支持将一张jpg/png直接设为屏保。所谓“统一屏保图片”，本质是部署一个能显示该图片的屏保程序（.scr文件），再通过策略强制启用它。关键不是传图，而是传程序、配路径、控注册表、绕过拦截。
一、准备并分发屏保程序文件（.scr）
屏保必须是合法签名的.exe或.scr可执行文件，不能是纯图片。常见做法有三种：
- 使用系统自带的PhotoScreensaver.scr（Win10/Win11默认带），它支持指定图片路径；也可用第三方轻量屏保工具（如SSS、WebScreenSaver）打包成.scr
- 若用PhotoScreensaver.scr，需提前在一台测试机上手动设置好目标图片（通过“个性化→锁屏界面→屏幕保护程序→设置”），再导出其注册表项EncryptedPIDL（加密后的图片路径），后续通过GPO写入该值
- 用GPO“文件首选项”将.scr文件复制到客户端固定位置：
路径建议：%SystemRoot%System32company_logo.scr
来源：UNC共享路径（如\DC01GPOFilesscreencompany_logo.scr）
注意：避免放%UserProfile%或映射驱动器，确保所有用户有读取权限
二、配置GPO启用屏保并设定参数
全部配置放在用户配置下（适配不同登录用户）：
- 启用屏保：路径 → 用户配置 → 管理模板 → 控制面板 → 个性化 → “启用屏幕保护程序” → 设为“已启用”
-
指定屏保文件名：同路径下 → “屏幕保护程序可执行文件名” → 填
company_logo.scr（不带路径，系统自动从%SystemRoot%System32加载） -
设置等待时间与密码保护：分别启用“屏幕保护程序超时”（如
900秒）、“用密码保护屏幕保护程序”（按安全策略勾选） - 禁止用户修改：启用“阻止更改屏幕保护程序”（路径同上），防止右键个性化中被覆盖
三、处理PhotoScreensaver专用配置（若选用）
系统自带PhotoScreensaver不认普通UNC或本地路径，只认注册表中加密存储的EncryptedPIDL。操作分两步：
- 在已设好图片的参考机上，打开注册表定位：
HKEY_CURRENT_USERSoftwareMicrosoftWindows Photo ViewerSlideshowScreensaver
导出EncryptedPIDL的二进制值（可用Regedit导出.reg，或PowerShell读取） - 在GPO中新建注册表策略：
位置：HKEY_CURRENT_USERSoftwareMicrosoftWindows Photo ViewerSlideshowScreensaver
名称：EncryptedPIDL
类型：REG_BINARY，值为你导出的加密数据
作用：让每台终端启动时都加载同一张图
四、绕过SmartScreen与权限限制
自研或未签名.scr常被拦截或黑屏：
- 在计算机配置中禁用SmartScreen对屏保的拦截：
路径 → 计算机配置 → 管理模板 → Windows组件 → Windows Defender SmartScreen → Explorer → “配置应用安装程序SmartScreen” → 设为“已禁用” - 确保.scr不依赖管理员权限运行（如不写注册表、不访问受限网络）；若必须提权，不推荐用psexec等高危方式
- 验证是否生效：登录后检查
%SystemRoot%System32是否存在该.scr；运行gpresult /h report.html确认策略已应用；手动双击.scr看能否正常预览
