需通过windows组策略统一管控firefox esr插件：下载匹配版本的admx模板并正确部署；启用“disable extensions”可强制禁用所有插件；使用“extensionsettings”白名单策略可精确控制指定插件安装与更新；同时需禁用about:addons、网页安装及about:config以防绕过。
在企业环境中批量部署火狐浏览器ESR后，需通过Windows组策略统一禁用、强制安装或限制特定插件（如广告拦截、密码管理类扩展），避免员工私自添加不可控插件导致安全风险或策略违规。
下载并安装Firefox ADMX策略模板
访问Mozilla官方GitHub releases页面，下载与当前部署的Firefox ESR版本严格匹配的policy_templates压缩包。例如，若部署的是Firefox ESR 115.12.0，则必须下载policy_templates_v4.12.zip——【版本不匹配会导致策略项完全不显示】。
解压后，将windows/firefox.admx复制到C:\Windows\PolicyDefinitions\，将windows\zh-cn\firefox.adml复制到C:\Windows\PolicyDefinitions\zh-cn\。注意：若系统语言非简体中文，需对应替换adml文件路径中的语言代码（如en-us）。
打开gpedit.msc验证是否生效：依次展开“计算机配置→管理模板”，检查左侧树状菜单中是否出现“Firefox”节点。未出现则说明ADMX/ADML未正确部署，需重新核对路径和文件权限。
强制禁用所有用户插件（含已安装）
在组策略编辑器中，导航至“计算机配置→管理模板→Firefox→Extensions”。
双击启用“Disable extensions”策略，选择“已启用”，点击“确定”。该设置会覆盖所有用户配置，包括已手动安装的插件，重启浏览器后插件栏消失且无法访问about:addons页面。
注意：此操作不可逆，除非策略被禁用或设为“未配置”，否则用户无法自行启用任何插件，包括企业批准的内部扩展。
仅允许指定插件白名单运行
方法一：使用ExtensionSettings策略精细控制
在“计算机配置→管理模板→Firefox→Extensions”下，启用“ExtensionSettings”策略。
点击“显示…”按钮，在值列表中逐行输入JSON格式规则，例如：
{"mycorp-auth@internal.example.com":{"installation_mode":"force_installed","install_url":"https://intranet/plugins/auth.xpi"}}
每行一个插件ID，ID必须与插件manifest.json中applications.gecko.id字段完全一致，大小写敏感；install_url必须指向内网可访问的.xpi文件地址，HTTP协议即可，无需HTTPS证书。
方法二：配合ExtensionUpdateURL实现静默更新
在同一策略路径下，启用“ExtensionUpdateURL”，填入企业内部扩展更新服务地址（如https://updates.intra.corp/firefox/extensions/）。该地址返回的JSON必须符合Mozilla扩展更新协议格式，否则插件无法自动升级。
阻止用户访问扩展商店及安装来源
第一步：启用“Block about: URLs”策略→勾选“about:addons”→应用后用户无法打开插件管理页。
第二步：启用“Disable installation of add-ons from websites”→彻底禁止从网页拖放.xpi文件或点击安装按钮。
第三步：在“Firefox→Preferences”路径下，启用“Disable about:config”策略。这一步很关键——【防止用户绕过策略修改xpinstall.enabled等底层参数】。
