必须为当前账户设置强密码，再将uac提升行为设为“提示凭据”，使每次安装软件均强制弹出全屏密码框；家庭版需创建标准用户或移除管理员组权限。
电脑被他人随意安装软件，可能泄露隐私、拖慢系统或引入风险程序，必须让每次安装行为都强制弹出管理员密码框——这需要修改系统底层权限提示策略，而非仅设账户密码。
前提：先给当前账户设置强密码
没有密码的账户，再严格的策略也形同虚设。打开“控制面板”→“用户账户”→选择你的账户→点击“创建密码”或“更改密码”，输入至少8位含大小写字母+数字的组合，点击确定。
【必须完成此步，否则后续所有策略均无效】
核心设置：改UAC提升行为为“提示凭据”
这是最直接生效的方法，适用于Windows 10/11专业版、企业版及教育版。家庭版不支持组策略，需跳至最后方法。
第一步：按 Win + R 输入 gpedit.msc 回车，打开本地组策略编辑器。
第二步：依次展开路径 → 计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项。
第三步：在右侧列表中找到“用户帐户控制：管理员批准模式中管理员的提升权限提示的行为”，双击打开。
第四步：在下拉菜单中选择“提示凭据”，点击确定。该设置会让所有提权操作（包括安装.exe/.msi、修改系统设置、运行注册表工具）都弹出全屏灰底窗口，要求输入管理员用户名和密码，无法跳过。
补充加固：禁用Windows Installer服务（可选）
很多捆绑软件、更新器依赖.msi引擎静默安装，禁用后能切断这一路径。
按 Win + R 输入 services.msc 回车 → 在列表中找到 Windows Installer → 右键“属性” → 启动类型改为“禁用” → 点击“停止”按钮 → 确定。
注意：禁用后部分正版软件（如Office更新、某些驱动安装包）会失败，临时启用只需把启动类型改回“手动”，安装完再禁用即可。
家庭版替代方案：创建标准用户并关闭自动提权
Windows家庭版无法使用gpedit.msc，但可通过账户隔离实现等效防护。
方法一：新建标准账户供他人使用
按 Win + R 输入 netplwiz → 取消勾选“要使用本计算机，用户必须输入用户名和密码”→ 点击“添加”→ 选择“不使用Microsoft账户登录”→ 创建本地标准用户（非管理员）→ 完成后，他人登录该账户安装任何软件都会被拒绝，除非你现场输入管理员密码授权。
方法二：对当前管理员账户追加限制
仍用 netplwiz 打开用户管理 → 选中你的管理员账户 → 点击“属性”→ 切换到“组成员身份”选项卡 → 移除“Administrators”组，仅保留“Users”。这样你日常使用无安装权限，每次装软件都必须右键选择“以管理员身份运行”并输密码——反而更安全。
