防止标准用户私自修改系统代理需从四层面协同加固：移除其在网络配置组中的成员身份；通过组策略禁用代理设置入口与关键工具；限制network connections服务及驱动加载权限；锁定hklm和hkcu下代理相关注册表项的写入权限。
要防止标准用户私自修改系统代理，核心是切断其对网络配置、代理设置界面和底层注册表项的访问权限。这不是单靠禁用某个开关就能解决的问题，而是需要从用户组权限、组策略控制、服务限制和注册表锁定四个层面协同加固。
移除标准用户在网络配置相关组中的成员身份
Windows 中唯一被默认授予网络配置权限的内置组是 Network Configuration Operators。只要标准用户属于该组，就具备修改代理、IP 地址、DNS 等网络参数的能力。
- 打开“计算机管理” → “系统工具” → “本地用户和组” → “组”，双击 Network Configuration Operators
- 检查成员列表，将所有标准用户（或 Users 组）从中移除
- 同样检查 Administrators 和 Power Users（如存在），确保仅必要人员保留在内
通过组策略禁用代理设置入口与关键工具
即使没有组权限，用户仍可能通过设置应用、Internet 选项或命令行间接修改代理。需在组策略中封堵这些路径：
- 运行 gpedit.msc，进入 用户配置 → 管理模板 → Windows 组件 → Internet Explorer
- 启用“禁止更改代理设置”，该策略会锁定 IE 及基于 IE 内核的应用（如旧版 Edge）的 LAN 设置
- 进入 用户配置 → 管理模板 → 控制面板 → 网络和 Internet，启用“隐藏‘网络和 Internet’设置页面”
- 进入 用户配置 → 管理模板 → 系统 → 不允许运行指定的 Windows 应用程序，添加 inetcpl.cpl（Internet 选项）、msconfig.exe、netsh.exe（需配合权限限制才有效）
限制 network connections 服务与驱动加载权限
代理设置依赖于 Windows 的网络连接管理机制。禁用或严格管控相关服务与底层权限，能阻止绕过界面的修改行为：
- 运行 secpol.msc，进入 本地策略 → 用户权限分配
- 双击“加载和卸载设备驱动程序”，仅保留 Administrators 组
- 双击“管理网络”，确认 Users 组未被包含在内
- 运行 services.msc，找到 Network Connections 服务，右键属性 → 启动类型设为“手动”，并点击“安全”选项卡
- 编辑权限，仅授予 SYSTEM 和 Administrators “完全控制”，移除 Users 组的所有权限
锁定代理相关注册表项写入权限
所有图形界面和命令行设置最终都写入注册表。锁定以下路径可彻底阻断代理修改：
- 以管理员身份运行 regedit
- 定位到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
- 右键该项 → “权限” → 选中 Users 组 → 勾选“拒绝”下的“完全控制”和“写入”
- 同样处理子项：ProxyEnable、ProxyServer、ProxyPort、ProxyOverride（若存在）
- 补充锁定： HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings，操作同上
完成上述配置后，标准用户将无法通过任何常规方式启用、关闭或更改系统代理。管理员如需临时调整，可临时赋予对应权限或使用管理员账户操作。这套组合策略兼顾了兼容性与安全性，不依赖第三方工具，适用于 Windows 10/11 专业版及以上版本。
