必须通过gpo推送严格格式的policies.json至火狐distribution目录，仅允许指定扩展id并指向网络xpi路径，禁止其他所有扩展；json须utf-8无bom、无注释、无语法错误，且路径、id、安装模式须完全匹配，否则策略失效。
你需要在Windows域环境中通过组策略（GPO）强制限制火狐浏览器只允许运行指定扩展，禁止员工私自安装或启用其他插件。这要求策略配置必须精确匹配扩展ID、路径和签名状态，否则火狐会直接忽略策略并继续按用户配置运行。
准备扩展ID与XPI文件路径
火狐企业策略不识别扩展名称或图标，只认唯一扩展ID（如{d10d0bf8-f5b5-c8b4-a8b2-2b9879e76ce3}）和本地XPI文件绝对路径。你必须提前获取目标扩展的真实ID——不能从about:addons界面抄显示名，而要打开扩展安装包的manifest.json查看applications.gecko.id字段；若为WebExtension且未声明ID，则需用其自动生成的哈希ID（可通过about:debugging#/runtime/this-firefox中点击“调试”后在控制台执行console.log(gBrowser.ownerGlobal.gBrowserBundle.formatStringFromName("extensionId", [addon.id], 1))提取）。
将XPI文件统一存放于域内可读网络位置，例如\dcpolicies irefoxdblocker.xpi，确保所有客户端能以SYSTEM权限访问该路径。
创建并部署policies.json策略文件
火狐仅在启动时读取一次policies.json，且该文件必须放在特定位置才能生效：对于MSI安装的火狐，路径为%PROGRAMFILES%Mozilla Firefoxdistributionpolicies.json；对于ZIP便携版，则放于解压根目录的distributionpolicies.json。若目录不存在，请手动创建。
用记事本新建policies.json，内容如下（注意严格使用双引号、无尾逗号、UTF-8无BOM编码）：
{ "policies": { "ExtensionSettings": { "*": { "installation_mode": "blocked" }, "{d10d0bf8-f5b5-c8b4-a8b2-2b9879e76ce3}": { "installation_mode": "allowed", "install_url": "\\dc\policies\firefox\adblocker.xpi" } } } }
【必须删除所有注释行，包括//开头的说明】火狐解析策略时遇到任何JSON语法错误（如多了一个逗号、用了单引号）会导致整个policies.json失效，且不报错、不提示。
通过GPO将policies.json推送到全网客户端
第一步：在域控制器上打开“组策略管理编辑器”，新建GPO并命名为“Firefox_Extension_Control”。
第二步：导航至“计算机配置→策略→首选项→Windows设置→文件”，右键新建“文件”。
第三步：在“常规”选项卡中，“操作”选“替换”，“源文件”填入你已准备好的policies.json网络路径（如\dcpolicies irefoxpolicies.json），“目标文件”填入客户端火狐安装路径下的完整位置（如%ProgramFiles%Mozilla Firefoxdistributionpolicies.json）。
第四步：在“共用”选项卡中勾选“应用此首选项项目到下列目标”，添加“已启用”的WMI筛选器，限定仅作用于已安装火狐的计算机（例如WQL查询：SELECT * FROM Win32_Product WHERE Name LIKE 'Mozilla Firefox%'）。
第五步：链接该GPO到目标OU，强制运行gpupdate /force，重启火狐验证。
