windows 10家庭版无法使用本地组策略编辑器，必须升级为专业版或企业版；一旦创建软件限制策略则不可撤销，删除后原有规则永久丢失。
在Windows 10专业版或企业版中，通过本地组策略编辑器启用软件限制策略，可锁定编译环境关键路径（如MSVC、MinGW、CMake安装目录），阻止未授权程序写入或替换核心工具链文件。
确认系统版本并打开组策略编辑器
右键“开始”→选择“运行”，输入 gpedit.msc 后回车；若提示“此操作已被管理员禁用”或直接报错“找不到文件”，说明当前是Win10家庭版，【无法使用本地组策略编辑器，必须升级为专业版或企业版】。
家庭版用户请勿尝试下载第三方gpedit补丁——这类补丁会破坏系统完整性校验，导致Windows更新失败或BitLocker解密异常。
启用软件限制策略顶层设置
在组策略编辑器左侧依次展开：计算机配置 → Windows 设置 → 安全设置 → 软件限制策略。
若右侧显示“未定义”，右键空白处→选择“创建软件限制策略”；该操作会自动生成“安全级别”和“其他规则”两个子节点，【一旦创建不可撤销，删除后原有规则将永久丢失】。
双击“安全级别”，确保“不允许的”策略处于启用状态——这是默认阻断行为的基础开关，不启用则所有后续路径规则无效。
添加编译环境关键路径的路径规则
方法一：直接锁定MSVC安装根目录
在“软件限制策略”下右键“其他规则”→“新建路径规则”，路径栏填入：C:\Program Files (x86)\Microsoft Visual Studio\*\Community\VC\Tools\MSVC\*\bin\Hostx64\x64\*，安全级别选“不允许”，描述写“禁止修改MSVC编译器二进制”。
方法二：封禁MinGW-w64全部可执行入口
新建路径规则，路径填：D:\mingw64\bin\*.exe（按实际安装路径调整），注意末尾必须带 \*.exe，只写 D:\mingw64\bin\ 会导致规则不生效。
方法三：拦截CMake生成的构建产物篡改行为
新建路径规则，路径填：%HOMEPATH%\Documents\CMakeBuilds\*\build\*.dll，作用范围限定为用户级构建输出目录，避免误杀系统级DLL。
强制应用策略并验证生效
第一步：以管理员身份运行命令提示符，执行：gpupdate /force；
第二步：重启计算机——部分路径规则需会话级重载才能拦截explorer.exe启动的进程；
第三步：尝试双击一个刚复制到MinGW bin目录下的测试.exe，系统应弹出“此程序被策略禁止”的红色提示框。
若仍能运行，检查是否在“安全级别”中误将“不允许的”设为“不受限的”，该设置会全局覆盖所有路径规则。
