必须同时启用“启用屏幕保护程序”和“在恢复时显示登录屏幕”两项策略，前者设超时（如300秒）启动屏保，后者强制调用锁屏机制要求密码认证；二者缺一不可，且须位于计算机配置路径下。

要通过组策略实现系统空闲后自动锁屏并强制密码验证，关键不是“开启锁屏”，而是让屏幕保护程序成为锁屏的触发器——必须同时启用两个策略，缺一不可。

启用屏幕保护程序并设好等待时间

这个策略本身不锁屏，只决定空闲多久后启动屏保，是后续密码验证的前提。

• 路径：计算机配置 → 管理模板 → 控制面板 → 个性化
• 策略名：启用屏幕保护程序 → 设为“已启用”
• 同步配置“屏幕保护程序超时（秒）”，例如填入300（即5分钟）
• 注意：仅启用此项，用户动一下鼠标就会直接回到桌面，毫无防护作用

强制恢复时显示登录屏幕（核心锁屏动作）

这才是真正让系统“锁住”的一步。它调用 Windows 原生锁屏机制（等效于按 Win+L），退出屏保时必须输入账户密码。

• 路径：同上，仍在“计算机配置 → 管理模板 → 控制面板 → 个性化”下
• 策略名：在恢复时显示登录屏幕 → 必须设为“已启用”
• 生效后，屏保结束不再返回桌面，而是跳转至锁屏界面，支持域账号、PIN 或Windows Hello认证
• 若此策略未启用，前面所有设置都形同虚设

防止被本地设置或电源策略绕过

有些场景下，即使组策略配对了，锁屏仍可能失效，常见原因包括待机/休眠跳过屏保逻辑，或用户配置覆盖了计算机策略。

• 禁用本地屏保覆盖：检查“计算机配置 → 管理模板 → 系统 → 电源管理 → 交互式设置”中，“当计算机空闲时允许待机”应为“已禁用”
• 确认策略位置：两项策略都必须放在计算机配置下，用户配置路径下的同类设置对域控终端无效
• 刷新策略：客户端执行gpupdate /force，然后注销再登录；也可用gpresult /h report.html验证是否实际应用

补充建议：增强可靠性与兼容性

针对部分老旧设备或特殊部署环境，可叠加以下设置提升稳定性：

• 在“计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项”中，启用“交互式登录：计算机不活动限制”，设为15分钟（单位为分钟），作为屏保策略的备用兜底
• 如需统一屏保样式（如强制“空白”），可启用“强制使用特定的屏幕保护程序”，并指定.scr文件路径
• 若企业要求禁止用户修改，一并启用“阻止更改屏幕保护程序”和“隐藏屏幕保护程序选项卡”