组策略首选项（gpp）与传统策略设置本质不同：前者默认写入、用户可改且不自动清理，适用于体验提效；后者强制覆盖、实时校验并自动回滚，用于守住安全底线。
组策略首选项（gpp）和传统策略设置看起来都在“配系统”，但底层逻辑完全不同：一个管“默认怎么设”，一个管“必须怎么守”。选错类型，轻则配置没效果，重则用户能绕过、清理不干净、甚至埋下安全漏洞。
行为本质：强制覆盖 vs 默认写入
传统策略设置是“铁命令”——启用后直接写入Windows监控的四类注册表路径（如HKLMSoftwarePolicies），每次登录或启动都会校验并强制还原。比如禁用CMD、强制密码复杂度、关闭USB存储，用户手动改了也会被秒级覆盖。
GPP则是“温柔提醒”——只在首次应用时写一次默认值，之后完全交由用户决定。例如用GPP映射Z:盘到\servershare，用户右键断开、重映射、删掉盘符，系统不会干预；部署桌面快捷方式，用户拖走或删除，GPP也不会拉回来。
适用场景：安全底线 vs 体验提效
策略设置适合守住不可妥协的线：
- 禁用注册表编辑器、任务管理器等高危工具
- 设定账户锁定阈值、密码最长使用期限等合规要求
- 关闭远程桌面、限制匿名访问等基础安全控制
GPP更适合提升日常效率和标准化体验：
- 自动映射常用网络驱动器、部署部门打印机
- 批量写入注册表优化项（如IE信任站点、Office默认保存路径）
- 创建计划任务、复制模板文件、设置环境变量
生效与清理：自动回滚 vs 静默残留
策略设置多数具备“自我清理”能力：GPO取消链接或OU移出后，下次刷新会自动从注册表中撤回对应配置。这是因为它始终作用于系统主动监控的策略区域。
GPP没有这个机制——它写入的位置（如HKCUSoftware或普通文件系统）不在监控范围内。删掉GPO后，已部署的快捷方式、计划任务、环境变量全都会留在本地。若需清理，只能手动操作，或新建一条GPP勾选“当不再应用时移除该项”选项（该设置需在初始部署时启用才有效）。
条件控制：靠外部筛选 vs 原生支持
策略设置本身不支持变量，想做差异化部署，只能依赖外部手段：
- WMI筛选（如限定仅Windows 10设备）
- 安全组筛选（把Finance组成员单独加进策略作用范围）
- OU层级隔离（最常用但粒度粗）
GPP原生支持环境变量（%username%、%logonserver%）和项目级筛选（Item-Level Targeting）——同一GPO里，可对IT组部署一台打印机，对HR组部署另一台，还能叠加操作系统、IP段、已安装软件等25+种条件，无需拆分多个GPO。
