组策略首选项管“默认怎么设”，策略设置管“必须怎么守”：前者仅首次写入且不监控，后者强制执行并持续校验；首选项支持变量级条件筛选，策略设置需依赖WMI或安全组筛选。
组策略首选项（preferences）和策略设置（policy settings）虽然都在组策略管理控制台（gpmc）里，但它们不是“同类工具”，而是两种逻辑完全不同的配置机制——一个管“默认怎么设”，一个管“必须怎么守”。
强制执行 vs 默认写入
策略设置是强制性的：启用后系统会持续监控并覆盖用户修改。比如启用“禁用注册表编辑器”，用户即使手动打开 regedit.exe，下次登录或组策略刷新（gpupdate /force）后立刻被关闭；它写入的是 Windows 专门监控的注册表路径（如 HKLMSoftwarePolicies），每次启动/登录都会校验、还原。
首选项只是“设一次默认值”：比如用首选项映射 Z: 盘到 \servershare，部署后用户可以右键断开、重映射、甚至删掉盘符，系统不会干预；它不监控、不回写、不校验，只在首次应用时写入（如 HKCU 或普通文件系统）。
适用场景完全不同
策略设置适合守住底线：
- 禁用任务管理器、CMD、PowerShell 等高危工具
- 强制密码复杂度、账户锁定阈值、最长使用期限
- 关闭远程桌面、禁止匿名访问、限制 USB 存储
首选项更适合提升效率和标准化体验：
- 自动映射网络驱动器、部署部门级打印机
- 写入 IE 信任站点、Office 默认保存路径等注册表优化项
- 创建计划任务、复制模板文件、设置环境变量、生成桌面快捷方式
是否自动清理，差别极大
策略设置多数能自我清理：GPO 取消链接或 OU 移出后，下次刷新会自动从注册表中撤回配置（因为作用于受控区域）。
首选项默认不清理：GPO 下线后，已部署的快捷方式、计划任务、环境变量、驱动器映射全留在本地。若需自动移除，必须在初始配置时勾选“当不再应用时移除该项”——这个选项一旦漏选，后续只能手动清理或另建 GPO 覆盖。
条件应用能力差异明显
首选项原生支持项目级筛选（Item-Level Targeting）：
- 直接使用 %username%、%computername% 等变量
- 单条设置内可限定仅对 Finance 组生效，或仅 Windows 10 计算机执行
策略设置本身无变量，要实现条件应用得靠外部手段：
- WMI 筛选（如 OS 版本判断）
- 安全组筛选（需提前分组）
- OU 层级隔离（粒度较粗）
