windows虽无原生mac机制，但可通过组策略禁用cmd、注册表锁定、acl移除执行权限及进程加固四步协同，实质性阻断标准用户运行cmd。
windows本身不提供传统意义上的强制访问控制（mac）机制，如selinux或smack，但可通过组合策略、权限与系统级限制，实现对标准用户运行cmd的实质性阻断。以下方法聚焦“强制性”和“难以绕过”的效果，适用于专业版及以上系统；家庭版需依赖注册表+acl双保险。
组策略禁用CMD（专业版/企业版首选）
这是最接近强制控制的方式，由系统策略层拦截启动请求，且支持脚本一并封锁：
- 按 Win + R 输入 gpedit.msc 打开本地组策略编辑器
- 导航至：用户配置 → 管理模板 → 系统
- 双击“阻止访问命令提示符”，设为“已启用”
- 勾选“也禁用脚本处理”为“是”——防止通过 .bat/.cmd/.ps1 绕过
- 执行 gpupdate /force 刷新策略，或注销重登录生效
注册表锁定（全版本通用，含家庭版）
该设置在用户配置层级生效，优先级高，且不依赖组策略服务：
- 运行 regedit，定位到：HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System
- 若 System 项不存在，手动新建
- 在右侧新建一个 DWORD (32位) 值，命名为 DisableCMD
- 将其数值数据设为 2（完全禁用CMD及批处理执行）
- 注销当前账户并重新登录，策略立即生效
ACL移除执行权限（系统级硬限制）
直接修改 cmd.exe 文件的访问控制列表，从操作系统内核层面拒绝执行，绕过策略仍无效：
- 打开 C:\Windows\System32\cmd.exe 属性 → “安全” → “高级”
- 点击“禁用继承”，选择“从此对象中删除所有已继承的权限”
- 点击“添加”→“选择主体”，输入 Users 或具体受限用户名
- 在权限条目中，取消勾选“读取和执行”，仅保留“读取”（避免影响系统组件）
- 确认后，标准用户双击或调用cmd.exe将直接报错“拒绝访问”
补充加固：禁用相关进程启动方式
防止通过PowerShell、任务管理器或快捷方式间接拉起CMD：
- 在组策略中同步禁用：用户配置 → 管理模板 → 系统 → 不显示此命令提示符（可选）
- 对 powershell.exe 和 wt.exe（Windows Terminal）同样应用ACL限制，防止借道执行
Start-Process cmd -Verb RunAs - 检查并清理启动项、计划任务、服务中可能调用CMD的脚本路径
以上四步协同实施后，标准用户将无法通过任何常规路径启动CMD，包括Win+R、开始菜单、资源管理器双击、PowerShell中介等。真正达到接近强制访问控制的实效。
