答案是：该提示由applocker、wdac、smartscreen或文件区域标识锁定导致，需依次通过事件查看器确认来源，停止application identity服务，清除wdac策略，解除文件“解除锁定”，或禁用uac管理员批准模式。
当你在 Windows 11 中双击运行一个本地程序或安装包，突然弹出“此应用程序由于安全原因已被管理员拦截”提示框，且点击“更多信息”后显示“由应用程序控制策略阻止”，说明系统已通过底层策略主动终止执行——这不是普通报错，而是策略引擎（如 AppLocker、Windows Defender 应用控制）已判定该文件不合规。
确认是否为 AppLocker 或 Windows Defender 应用控制拦截
先验证拦截来源，避免误操作注册表或组策略：按 Win + R 输入 eventvwr.msc 回车 → 左侧展开“Windows 日志”→“应用程序”→ 在右侧点击“筛选当前日志”→ 在“事件来源”下拉菜单中勾选 AppLocker 和 Windows Defender Application Control → 点击确定。若筛选后出现 ID 为 8003、8004、8027 等事件，且描述含“被阻止”“策略拒绝”字样，则确认是这两者之一所为。
注意：若筛选结果为空，大概率是 SmartScreen 或文件属性锁定，跳过本阶段直接进入下一节。
停用 Application Identity 服务（即时生效）
Application Identity 服务是 AppLocker 规则生效的必要前提。只要它在运行，即使你没手动配置任何规则，系统也可能加载默认策略并拦截程序。
按 Win + R 输入 services.msc 回车 → 在列表中找到 Application Identity → 右键选择“停止” → 再次右键 → “属性” → 将“启动类型”改为 禁用 → 点击“应用” → 关闭窗口。
这一步无需重启，立刻生效。现在尝试双击被拦截的程序，多数情况下可直接运行。
解除 Windows Defender 应用控制（WDAC）策略
若事件查看器中明确看到 Windows Defender Application Control 的 8027 错误，说明系统启用了基于签名和策略的强制白名单机制，常见于企业域环境或手动部署过 WDAC 策略的设备。
方法一：临时绕过策略（推荐测试用）
按 Win + X → 选择“Windows 终端（管理员）”→ 输入命令：
Set-ProcessMitigation -System -Disable StrictHandleCheck,StrictHandleCheckOverride
再输入：
bcdedit /set {current} testsigning Off
最后重启电脑。
方法二：彻底清除已部署策略
仍以管理员身份打开终端 → 执行：
Set-CIPolicySetting -PolicyName "Default" -Enabled $false
Restart-Computer -Force
重启后，WDAC 策略将不再加载。注意：此操作仅影响本地策略，不改变域控下发的 GPO。
清除下载文件的“区域标识”锁定
这是最常被忽略却最易解决的一环：从浏览器、微信、邮件附件等渠道下载的 .exe 文件，系统会自动写入 Zone.Identifier 替代数据流标记为“来自互联网”，触发默认拦截。
右键被拦截的程序文件 → 选择“属性” → 切换到“常规”选项卡 → 检查底部是否有“安全：此文件来自其他计算机，可能被阻止以帮助保护该计算机。”提示 → 若有，勾选下方的“解除锁定”复选框 → 点击“应用” → 再点“确定”。
这一步操作起来很简单，直接把文件拖进去就行。做完后双击运行，90% 的同类提示会消失。
禁用“以管理员批准模式运行所有管理员”策略
该策略是 UAC 的核心开关，启用时会对所有管理员账户实施提权审批，同时也会增强对未签名程序的拦截强度。
第一步：按 Win + R 输入 gpedit.msc 回车；
第二步：导航至 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项；
第三步：在右侧列表中找到“用户账户控制：以管理员批准模式运行所有管理员” → 双击；
第四步：选择“已禁用” → 点击“确定”；
第五步：【必须重启计算机】 才能使策略变更生效。
