通过gpo统一设置终端默认程序需三步：导出标准defaults.xml并精简条目；在计算机配置中启用“将指定应用程序设为默认值”策略并指向sysvol中的xml；对.ps1等高危扩展名用注册表策略加固，并禁用用户覆盖及漫游干扰。

在域环境中，用组策略（gpo）统一设置全网终端的默认打开程序，核心是通过“设置默认应用程序”策略批量部署标准关联配置，辅以注册表策略加固关键扩展名，并规避用户覆盖和漫游冲突。

导出并准备标准defaults.xml文件

先在一台干净、已按要求配置好默认应用的参考机上操作：

• 用管理员权限打开命令提示符，执行：dism /online /Export-DefaultAppAssociations:C:defaults.xml（注意：不是PowerShell命令，也不需要模块）
• 用文本编辑器打开该XML文件，只保留需强制的条目，例如：
  
  
  
• 确保ProgId值准确——可从注册表HKEY_CLASSES_ROOT下对应扩展名或协议查得，错误的ProgId会导致策略不生效

在GPO中启用并指向XML文件

策略路径必须选对，且作用范围为计算机配置：

• 打开组策略管理控制台（GPMC），新建或编辑一个GPO，链接到目标计算机OU
• 导航至：计算机配置 → 管理模板 → Windows组件 → 文件资源管理器
• 启用“将指定的应用程序设置为默认值”策略
• 在“选项”页中，填入XML文件的UNC路径，例如：\DCSYSVOLdomain.localPoliciesDefaultsdefaults.xml（必须放在SYSVOL共享内，所有客户端可读）

锁定高危或易变扩展名（注册表级加固）

仅靠defaults.xml无法阻止用户手动改回.ps1、.reg、.bat等敏感类型，需补充注册表策略：

• 路径：计算机配置 → 策略 → Windows设置 → 注册表
• 添加项：HKEY_LOCAL_MACHINESOFTWAREClasses.ps1，设默认字符串值为Microsoft.PowerShellScript.1
• 再添加：HKEY_LOCAL_MACHINESOFTWAREClassesMicrosoft.PowerShellScript.1shellopencommand，设默认值为："%SystemRoot%system32WindowsPowerShell1.0powershell.exe" "-NoProfile -ExecutionPolicy Bypass -File "%1""
• 若需彻底禁用双击运行，同步配置PowerShell执行策略（如ExecutionPolicy DWORD=2）及DisableScriptExecution策略

避免用户设置覆盖与漫游干扰

默认关联实际写在用户配置单元（NTUSER.DAT）中，启用了漫游配置文件或UE-V时极易被回滚：

• 在GPO中启用策略：用户配置 → 管理模板 → Windows组件 → 文件资源管理器 → 阻止用户更改默认关联
• 若使用UE-V，必须在UE-V模板中排除同步路径：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerFileExts
• 禁用“设置”应用中的用户级覆盖能力：启用策略“用户配置 → 管理模板 → 控制面板 → 禁用默认程序”