启用uac管理员批准模式并设提示行为为“提示凭据”，同时注册表中enablelua=1、filteradministratortoken=1，可强制标准用户安装软件时输入管理员用户名和密码。
在Windows 11中，标准用户双击运行安装包时直接弹出“请输入管理员用户名和密码”提示，是通过启用UAC的管理员批准模式并配合组策略锁定提权行为实现的——该设置能确保每次安装软件都强制验证管理员身份，不依赖账户是否实际属于Administrators组。
启用管理员批准模式并配置UAC提示级别
这一步让系统对所有潜在高权限操作（包括标准用户触发的安装）统一走凭据验证流程，而非仅弹窗确认。
1、按下 Win + R 打开运行框，输入 gpedit.msc 回车启动本地组策略编辑器（仅限专业版/企业版/教育版）。
2、依次展开：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项。
3、在右侧找到“用户帐户控制：管理员批准模式下管理员的提升提示行为”，双击打开。
4、将策略设置为【提示凭据】，点击确定保存。此选项强制使用管理员账户的用户名+密码完成身份核验，不能跳过或用PIN替代。
5、关闭组策略编辑器，重启电脑使策略生效。
禁用标准用户的自动提权通道
即使UAC已启用，若注册表中存在绕过机制，标准用户仍可能被静默授予临时管理员令牌。必须清除这类后门。
方法一：关闭安装程序自动提权
1、按 Win + R 输入 regedit 回车，导航至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
2、在右侧空白处右键 → 新建 → DWORD (32位) 值，命名为 EnableLUA。
3、双击该值，将数值数据设为 1（确保UAC核心开关开启），点击确定。
方法二：阻止标准用户继承管理员令牌
1、在同一注册表路径下，检查是否存在名为 FilterAdministratorToken 的DWORD值。
2、若存在，双击将其数值数据改为 1；若不存在，新建一个并设为1。
【注意】此值为关键安全开关，设为1后标准用户无法获得任何管理员令牌副本，彻底切断静默提权路径。
验证限制是否生效
切换到标准用户账户登录，尝试双击任意 .exe 或 .msi 安装包。
系统应立即弹出UAC对话框，标题为“Windows 安全中心”，内容明确要求输入管理员账户的用户名和密码，且无“是/否”确认按钮——只有正确输入管理员凭据才能继续。
若仍出现仅需点“是”的简易弹窗，说明组策略未生效或注册表设置有误，需重新检查步骤一中的策略路径与启用状态。
