chrome可永久锁定在特定版本（如114.0.5735.90），需从系统底层阻断更新：一、禁用gupdate和gupdatem服务；二、禁用googleupdatetaskmachinecore与ua计划任务；三、拒绝users对update文件夹的写入权限；四、重命名update文件夹为update.disabled；五、在hosts中屏蔽update.googleapis.com和tools.google.com。
你需要让Chrome永远停在某个特定版本，比如114.0.5735.90，不再被后台悄悄升级——因为一旦更新，旧版插件、开发者工具行为或企业内网兼容性就可能直接崩掉。这不能靠浏览器设置里点几下解决，必须从Windows系统底层掐断所有更新路径。
停止并禁用核心更新服务
Chrome的自动更新由两个Windows服务驱动：gupdate负责检查新版本，gupdatem负责执行安装。只要其中任何一个还在运行，它就可能在你关机前偷偷拉下新版包。
第一步：按 Win + R 输入 services.msc 回车，打开服务管理器。
第二步：在列表中找到 Google 更新服务 (gupdate)，双击打开属性窗口→点击“停止”→将“启动类型”设为“禁用”→点击“确定”。
第三步：同样操作处理 Google 更新服务 (gupdatem)，确保两项服务状态栏都显示“已停止”，启动类型为“禁用”。
注意：如果只停服务不改启动类型，重启后它会自动复活。这一步漏掉，后面全白做。
禁用计划任务唤醒机制
即使服务被禁用，Chrome仍会通过Windows计划任务定时“诈尸”——GoogleUpdateTaskMachineCore每小时检查一次，GoogleUpdateTaskMachineUA则在用户登录时触发。这两项任务是服务失效后的备用唤醒通道。
① 按 Win + R 输入 taskschd.msc 回车，打开任务计划程序。
② 左侧导航栏展开 任务计划程序库 → Google。
③ 找到 GoogleUpdateTaskMachineCore 和 GoogleUpdateTaskMachineUA，右键逐个选择“禁用”。
④ 禁用后，右侧“状态”列应显示“已禁用”，而非“准备就绪”或空白。
切断Update文件夹写入权限（关键防护）
更新程序必须往 C:\Program Files (x86)\Google\Update（32位）或 C:\Program Files\Google\Update（64位）里写临时文件、解压包和新版组件。拒绝写入权限，等于给更新流程卡死在“保存失败”这一步。
方法一：右键Update文件夹→属性→安全→编辑→选中 Users 或你的账户名→勾选“拒绝”列下的“写入”和“修改”→点击“确定”。
方法二（更彻底）：在“安全”选项卡点击“高级”→点击“禁用继承”→弹出提示选“转换为可继承的权限”→再点击“删除”清除所有现有权限条目→最后添加你自己的账户并仅赋予“读取”权限。
【务必先禁用继承再删除，否则拒绝权限会被上级策略覆盖】
重命名Update文件夹（即时生效）
这是最轻量、最不可绕过的物理阻断方式。Google更新引擎硬编码了Update文件夹路径，一旦找不到这个名称，整个更新模块加载失败，连错误日志都不会生成。
打开文件资源管理器，进入 C:\Program Files (x86)\Google\（或64位对应路径）→右键 Update 文件夹→选择“重命名”→改为 Update.disabled 或任意非标准名称（如Update_202606）。
这一步操作起来很简单，直接把文件夹拖进去就行。改完后无需重启，立刻生效。
屏蔽更新域名（网络层兜底）
某些Chrome版本会在启动时直连 update.googleapis.com 发起HTTPS心跳检测，即使服务、任务、文件夹全被封死，这个请求仍可能暴露你的存在。把它映射到黑洞地址，让DNS解析成功但连接必然超时。
以管理员身份运行记事本→打开 C:\Windows\System32\drivers\etc\hosts→在文件末尾新增两行：
0.0.0.0 update.googleapis.com
0.0.0.0 tools.google.com
保存后，在管理员命令提示符中执行 ipconfig /flushdns 刷新本地DNS缓存。
