要让已有本地账户获得来宾级权限，需将其加入guests组并移出users组，再禁止guests组的网络访问权限。具体操作包括：确认账户未禁用且不在administrators组，检查系统版本；以管理员身份运行终端执行net localgroup guests 用户名 /add和net localgroup users 用户名 /delete；接着在guests组中添加everyone并全部勾选“拒绝”权限；最后验证其无法访问系统关键目录且无法运行命令行工具。
你需要让某个已有本地账户临时获得来宾级权限，而不是新建账户或启用系统内置Guest，此时不能直接“更改账户类型”，必须通过组成员关系调整实现权限降级。
确认目标账户状态与系统版本
右键“此电脑”→“管理”→左侧展开“本地用户和组”→“用户”，找到你要调整的账户（例如叫“TempUser”）。双击打开属性，确认该账户【未被禁用】且【未加入Administrators组】。若已加入管理员组，必须先移出——否则后续操作无效。
同时检查系统版本：按Win+R输入winver回车，确认是否为Windows 11专业版/企业版/教育版。家庭版不支持组策略方式，需跳过下一节直接执行命令行操作。
将账户加入Guests组并移出Users组（推荐）
这一步是核心操作，它让账户继承Guests组的最小权限策略，同时剥离Users组默认赋予的读写权限。
① 按Win+X选择“终端(管理员)”→点击“是”确认UAC提示。
② 输入以下两条命令，每条执行后按回车：
net localgroup Guests TempUser /add
net localgroup Users TempUser /delete
注意：TempUser替换成你实际的用户名；第二条命令必须执行，否则该账户仍保有Users组权限，无法真正受限。
③ 执行完毕后，关闭终端。无需重启，该账户下次登录即生效为来宾级权限。
补充设置：阻止网络访问（防止绕过限制）
仅加入Guests组还不够——Windows默认允许Guests组成员通过网络访问共享文件夹，这会绕过本地权限限制。
右键“此电脑”→“管理”→左侧“本地用户和组”→“组”→双击打开“Guests”→点击“添加”→在弹出框中输入“Everyone”→点击“检查名称”→确定。
回到“Guests 属性”窗口，在下方列表中选中“Everyone”，然后在权限栏中【取消勾选“允许”列下所有复选框】，只保留“拒绝”列全选状态→点击“确定”。
这一步确保该组成员无法通过局域网访问本机任何共享资源，彻底锁死横向访问路径。
验证权限是否生效
切换到目标账户登录，尝试以下操作：
打开C:\Users\Default文件夹 → 应提示“拒绝访问”；
在桌面新建文本文件 → 可成功创建；
进入“公用”文件夹 → 可读写；
尝试运行cmd或PowerShell → 系统会直接阻止启动。
