强制策略优先于阻止继承，会穿透并覆盖其效果；只要上级gpo标记为“强制执行”，即使子ou启用“阻止继承”，该策略仍生效。
强制策略优先于阻止继承，会穿透并覆盖其效果。只要上级gpo被标记为“强制执行”，无论子ou是否启用“阻止继承”，该策略仍会生效。
强制执行（Enforced）的实际作用
强制执行是GPO链接级别的设置，在GPMC中表现为向下的锁形图标。它不是让策略“更优先”，而是赋予该GPO“继承豁免权”——跳过下级所有阻止继承的限制。
- 必须在GPO属性的“常规”选项卡中手动勾选“此GPO的设置为强制执行”才生效
- 多个强制GPO按链接顺序（Link Order）处理，序号小者优先
- 它不影响安全筛选或WMI筛选；即使继承成功，对象若不在授权组内或未通过条件，策略仍不应用
阻止继承（Block Inheritance）的真实边界
阻止继承仅作用于OU级别，是对“继承路径”的开关，不具备对抗强制策略的能力。
- 启用后，只屏蔽来自父OU、域、站点的非强制GPO
- 无法屏蔽跨OU手动链接的GPO，也无法屏蔽已设为强制的上级GPO
- 林根域或顶级域没有上级容器，因此无法在此类容器上启用阻止继承
冲突场景下的排查与应对
当目标OU显示“已阻止继承”，但某GPO仍被应用，大概率是上游GPO启用了强制执行。
- 用gpresult /h report.html查看报告，“Applied GPOs”列表中带“Enforced”标识的即为穿透生效项
- 用PowerShell快速筛查：Get-GPO -All | Where-Object {$_.IsEnforced}
- 想让某OU彻底避开强制GPO？不能靠阻止继承，只能改安全筛选（移除对应组或加拒绝权限），或绑定WMI筛选器做条件过滤
GPO整体处理顺序与叠加逻辑
系统按LSDOU顺序处理：本地→站点→域→OU（自顶向下）。同层级GPO按链接顺序由小到大处理，而强制GPO只是确保自己不被跳过，并不改变该顺序本身。
- 策略值以“最后应用者胜出”（Last Applied Wins）为准，非强制GPO之间可互相覆盖
- 强制GPO不参与“覆盖竞争”，它先稳稳落地，再由后续GPO对未定义项补充或覆盖
- 环回处理、慢速链接等机制在强制/阻止继承之上叠加，不改变二者优先关系
