Windows防火墙限制脚本联网需针对解释器进程（如python.exe、powershell.exe）而非脚本文件本身，须分别创建出站和入站阻止规则以实现双向拦截，覆盖所有通过该解释器运行的脚本。

Windows 防火墙本身不识别“脚本语言”（如 Python、PowerShell、JavaScript），它只按**可执行文件（.exe）** 或**监听端口**进行规则匹配。因此，限制脚本的外连权限，本质是限制其**运行环境进程**的联网行为，而非脚本文件本身。

关键思路：锁定解释器进程，而非脚本文件

Python 脚本由 python.exe 执行，PowerShell 脚本由 powershell.exe 或 pwsh.exe 执行，批处理由 cmd.exe 执行。防火墙规则必须作用于这些宿主程序，才能阻断其发起的所有网络连接。

• 直接对 .py、.ps1、.js 文件设规则无效——它们不是可执行体，防火墙无法拦截
• 规则需指向解释器路径，例如：
  C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  C:\Program Files\Python312\python.exe
• 若使用 VS Code 终端或 IDE 内置终端运行脚本，实际仍是调用上述 exe，规则依然生效

推荐操作：为解释器创建双向阻止规则

仅设出站规则可能不够——某些脚本会启动本地 HTTP 服务（如 Flask 开发服务器）、响应远程调试请求或接受反向 shell 连接，此时需同步封禁入站。

熊猫论文

一款AI论文写作工具，主要用于AI学术写作优化工具，提供AI降重、查重检测、论文润色等服务，适合需要提升相关任务效率的用户。

下载

• 打开 wf.msc（Win+R 输入后回车）
• 在“出站规则”中新建规则 → 类型选“程序” → 浏览定位到目标解释器（如 python.exe）→ 操作选“阻止连接” → 配置文件全选（域/专用/公用）→ 命名如“阻断Python外连_出站”
• 同样在“入站规则”中新建规则 → 完全复用同一解释器路径 → 操作仍为“阻止连接” → 命名如“阻断Python接收_入站”
• 完成后，所有通过该 python.exe 启动的脚本（无论 .py 内容如何）均无法收发网络数据

注意事项与常见绕过场景

部分工具会绕过常规解释器路径，需额外留意：

• 打包后的可执行文件（如 PyInstaller 打包的 app.exe）：规则必须针对其生成的 .exe，而非 python.exe
• Windows 子系统（WSL）中的 Python：Windows 防火墙不管理 WSL 内部流量，需在 WSL 中用 iptables 或 ufw 控制
• Edge/Chrome 内嵌 JS（如网页中 fetch）：应限制浏览器进程（msedge.exe / chrome.exe），而非 JS 引擎本身
• PowerShell 的 AMSI 绕过或内存加载技术：规则仍有效——只要最终调用的是 powershell.exe，联网即被拦截

命令行快速部署（管理员权限运行）

适合批量配置或脚本化管理：

• 阻止 PowerShell 出站：
  netsh advfirewall firewall add rule name="Block_PS_Out" dir=out program="%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe" action=block
• 阻止 PowerShell 入站：
  netsh advfirewall firewall add rule name="Block_PS_In" dir=in program="%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe" action=block
• 查看是否生效：
  netsh advfirewall firewall show rule name="Block_PS_Out"