必须通过组策略在计算机配置路径下启用“启用屏幕保护程序”和“在恢复时显示登录屏幕”两项策略，缺一不可；同时禁用待机、启用唤醒密码、阻止用户修改屏保设置，并执行gpupdate /force刷新生效。

要让 windows 在空闲后自动锁屏并强制输入密码，必须通过组策略在计算机配置路径下启用两个核心策略：一是启动屏幕保护程序并设定超时时间，二是确保退出屏保时跳转至登录界面。缺一不可，且不能放在“用户配置”中。

启用屏保并设好等待时间

这是锁屏流程的起点——它不直接锁屏，但为后续认证创造触发条件：

• 路径：计算机配置 → 管理模板 → 控制面板 → 个性化
• 启用“启用屏幕保护程序”，设为“已启用”
• 同步配置“屏幕保护程序超时(秒)”：填入目标秒数，例如 300（5 分钟）、600（10 分钟）
• 屏保类型选“空白”即可，不影响锁屏逻辑

强制恢复时显示登录屏幕

这才是真正实现“密码强制锁定”的关键一步。没它，屏保只是动画，动一下鼠标就回到桌面：

Windows 日历同步

将提醒同步至 Windows/Outlook 日历。用户提及「提醒我」「设置提醒」「加到日历」「同步到日历」「日程」「calendar」「日历」时触发。支持Microsoft Graph API 设备代码流认证，无需 Web 服务器，直接写入用户 Outlook 日历。

下载

• 同一路径下，启用“在恢复时显示登录屏幕”，设为“已启用”
• 启用后，系统会在屏保结束瞬间调用锁屏机制（等效于按 Win+L）
• 用户必须输入域账户或本地管理员密码才能继续操作

堵住常见绕过漏洞

仅靠上面两项，在部分设备上仍可能失效。需同步约束电源与用户行为：

• 禁用待机干扰：路径 → 计算机配置 → 管理模板 → 系统 → 电源管理 → 交互式设置 → “当计算机空闲时允许待机”设为“已禁用”
• 统一唤醒认证：路径 → 计算机配置 → 管理模板 → 系统 → 电源管理 → 睡眠设置 → 启用“唤醒时需要密码”（接通电源和使用电池均启用）
• 防用户手动修改：在同一“个性化”路径下，启用“阻止更改屏幕保护程序”和“阻止更改屏幕保护程序超时”

刷新并验证是否生效

组策略不会自动实时更新，必须主动操作并检查：

• 客户端以管理员身份运行命令提示符，执行：gpupdate /force
• 验证方式：运行 gpresult /h report.html，打开生成的 HTML 报告，搜索“启用屏幕保护程序”和“在恢复时显示登录屏幕”，确认状态均为“已启用”
• 实测：等待设定超时后，轻敲空格或移动鼠标，应直接进入锁屏界面，而非返回桌面