通过本地安全策略可精准控制本地账户的网络访问权限，核心是配置“拒绝从网络访问这台计算机”和禁用“使用空白密码的本地账户只允许进行控制台登录”两项策略，并辅以“从网络访问此计算机”白名单及ntfs权限细化管控。
直接通过“本地安全策略”可以精准控制哪些本地账户能从网络访问这台电脑，核心是配置两项策略：一是禁止特定账户远程登录，二是限制空密码账户的网络访问行为。
禁止指定账户从网络访问
这项设置在“用户权限分配”里，作用是让某些账户完全无法通过局域网、远程桌面或文件共享等方式连接本机。
- 按 Win+R，输入 secpol.msc 回车，打开本地安全策略
- 左侧展开“本地策略”→“用户权限分配”
- 双击右侧策略“拒绝从网络访问这台计算机”
- 点击“添加用户或组”，输入要限制的账户名（如 Administrator、testuser），确认添加
- 该账户下次尝试通过网络访问（比如映射共享、远程桌面）时，会直接被拒绝，不提示输入密码
禁用空密码账户的网络登录
Windows 默认不允许没有密码的本地账户从网络登录，这是常见“登录失败：用户帐户限制”的根源。若需临时允许（如测试环境），必须关闭该策略。
- 在同一 secpol.msc 界面中，展开“本地策略”→“安全选项”
- 找到并双击“账户：使用空白密码的本地账户只允许进行控制台登录”
- 将其设为“已禁用”
- 注意：仅建议在可信内网且无敏感数据的场景下启用；生产环境应为所有账户设置强密码
配合其他策略增强控制效果
单靠上述两项还不够精细，可叠加使用以下设置提升限制准确性：
- 在“用户权限分配”中，检查“从网络访问此计算机”策略——默认包含 Everyone 和 Users 组；如需更严格，可清空该列表，再手动添加允许的账户
- 若启用了 Guest 账户用于共享访问，确保它不在“拒绝从网络访问这台计算机”列表中；同时确认 Guest 已启用且有对应共享权限
- 对关键共享文件夹，还需在 NTFS 权限中单独设置账户读写权限，本地安全策略管登录，NTFS 管访问内容
