禁用自动更新需四步：一、禁用“配置自动更新”主策略；二、同步禁用“Windows 更新 for Business”子策略；三、启用“删除所有更新访问权限”并设Intranet更新地址为127.0.0.1；四、执行gpupdate /force刷新并验证设置生效。
组策略中禁用自动更新是核心步骤
功能更新（如从win10升级到win11，或大版本年更）默认由“配置自动更新”策略控制。只要该策略未被明确禁用，系统仍可能在后台触发功能更新检查与下载。
操作路径：打开gpedit.msc → 计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 双击“配置自动更新” → 选择已禁用 → 确定。
注意：此设置对专业版、企业版、教育版有效；家庭版无法使用组策略编辑器。
关闭Windows更新for Business子策略
从Windows 10 20H2起，功能更新可通过“Windows 更新 for Business”通道独立分发，绕过主更新策略。若只禁用顶层策略，该通道仍可能推送功能更新。
需额外进入：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → Windows 更新 for Business → 找到“配置自动更新” → 同样设为已禁用。
隐藏UI入口并阻断网络请求
仅禁用策略还不够，用户仍可能通过设置界面手动检查更新，或系统尝试连接微软服务器拉取功能更新包。
- 启用“删除使用所有Windows更新功能的访问权限”，让设置里的“Windows 更新”页面、通知中心入口、PowerShell命令等全部不可见、不可用
- 启用“指定Intranet Microsoft更新服务位置”，将URL设为http://127.0.0.1，使所有更新请求立即失败，不重试、不回退
刷新策略并验证生效
组策略修改后不会实时同步，需手动刷新：
以管理员身份运行命令提示符，输入：gpupdate /force，回车执行。
验证是否生效：
- 打开“设置 → Windows 更新”，页面应显示空白或提示“此功能已被管理员禁用”
- 运行services.msc，确认Windows Update服务状态为“已停止”，且启动类型为“禁用”（可选加强项）
- 尝试点击“检查更新”，无响应或直接报错
