windows可通过组策略禁用自动连接开放网络、禁用建议热点发现、将高风险ssid设为手动连接模式，或停用wlan autoconfig服务实现无线安全管控。
windows 本身不提供“拉黑指定 ssid”或“仅允许认证网络”的图形化安全策略，但可通过组合配置网络层安全机制，实现对未经认证、无加密保护的开放网络（如 cmcc、free_wifi、hotel_guest）的自动连接拦截。核心思路是：关闭系统对开放网络的默认信任行为，强制连接前需人工确认，并切断后台自动关联通道。
启用组策略禁止自动连接开放网络
这是最直接、面向全系统的控制方式，适用于 Windows 专业版/企业版/教育版：
- 按 Win + R 输入
gpedit.msc，打开本地组策略编辑器 - 导航至：计算机配置 → 管理模板 → 网络 → WLAN → WLAN Service → 所有用户配置文件
- 双击启用策略：禁止自动连接到开放网络
- 启用后，系统将跳过所有安全类型为“开放”或“无安全保护”的已知网络的自动连接尝试，即使此前保存过且勾选了“自动连接”
禁用“建议的开放热点”自动发现功能
该策略阻止 Windows 主动扫描并提示连接周边未加密热点（如机场广播的无密码 SSID），从源头减少暴露面：
- 在相同组策略路径下（计算机配置 → 管理模板 → 网络 → WLAN → WLAN Service）
- 启用：禁止连接到建议的开放热点
- 同时确认同级策略“允许连接到建议的开放热点”处于未配置或已禁用状态
- 生效后，任务栏 Wi-Fi 列表中不再显示“建议的网络”区域，也不会弹出“发现开放网络”提示
将高风险网络配置文件设为手动连接模式
组策略无法修改已有配置文件的 connectionmode，但可通过命令行精准锁定特定 SSID 的行为：
- 以管理员身份运行命令提示符，执行：
netsh wlan show profiles查看全部已保存网络 - 对确认为非受信任的开放网络（如 "Starbucks_Free"、"Railway_Guest"），逐条执行：
netsh wlan set profileparameter name="Starbucks_Free" connectionmode=manual - 该命令将配置文件锁定为仅响应用户点击“连接”操作，彻底绕过任何后台重连逻辑
- 建议部署组策略后，统一运行脚本批量处理历史高风险网络
停用 WLAN AutoConfig 服务作为强管控兜底
若终端需完全隔绝无线连接（例如涉密办公场景），可停用底层服务，实现物理级阻断：
- 按 Win + R 输入
services.msc - 找到服务：WLAN AutoConfig（服务名 WlanSvc）
- 右键 → “停止”，再双击打开属性 → 启动类型设为禁用
- 注意：此操作将导致所有 Wi-Fi 功能不可用，包括手动连接；恢复时需重新启用并启动该服务
