必须彻底剥离guest对所有ntfs卷的读取权限并锁定shell：①用lusrmgr.msc确保guest属guests组；②对每个盘符安全选项中拒绝guests全部权限；③注册表修改winlogon shell值禁用程序启动；④ram盘设为浏览器默认下载路径；⑤清空文件类型关联并屏蔽smb。
要在Windows 11中让Guest来宾账户仅能访问互联网、完全无法读写或浏览任何本地磁盘（包括C盘、D盘及所有NTFS卷），必须绕过Guest账户默认的极低权限陷阱——它看似受限，实则仍可打开文件资源管理器、双击桌面快捷方式、甚至通过Edge地址栏输入file://协议直接访问磁盘根目录。真正有效的隔离需组合策略锁定+权限剥离+启动项拦截。
彻底剥离Guest对所有本地驱动器的NTFS权限
这一步是核心防线，不执行则后续所有设置形同虚设。Guest账户虽属Guests组，但Windows默认未显式拒绝其对驱动器的“读取”权限，导致它仍可通过资源管理器浏览盘符内容（即使不能双击打开）。
① 按 Win + R 输入 lusrmgr.msc 回车，打开本地用户和组管理控制台；
② 左侧点击【组】→ 右侧双击【Guests】→ 点击【添加】→ 输入 Guest → 点击【确定】确保Guest确实在该组内；
③ 打开文件资源管理器，右键【此电脑】→【管理】→左侧展开【存储】→【磁盘管理】，记下所有已分配盘符的卷（如C:、D:等）；
④ 对每个盘符右键→【属性】→【安全】选项卡→点击【编辑】→【添加】→在位置中选本机→输入 Guests → 点击【检查名称】→【确定】；
⑤ 在权限列表中找到 【Guests】，勾选最下方的【拒绝】列全部复选框（尤其是【读取】和【列出文件夹内容】），点击【应用】→【确定】；
⚠️ 注意：若【安全】选项卡不可见，说明该驱动器为FAT32格式，必须先转换为NTFS（使用 convert C: /fs:ntfs 命令），否则权限控制无效。
禁用Guest账户的全部Shell交互能力
仅靠权限限制还不够——Guest仍可调出运行框（Win+R）、打开PowerShell、拖拽文件到浏览器上传。必须切断其启动图形界面程序的能力。
方法一：通过注册表锁定默认Shell
以管理员身份运行注册表编辑器（regedit）→ 导航至：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
双击右侧的 【Shell】 字符串值，将其数据改为：explorer.exe,netsh interface set interface "Wi-Fi" admin=enabled
（注意逗号后无空格，且将“Wi-Fi”替换为你实际的无线网卡名称，可用 netsh interface show interface 查看）
这会让Guest登录后只加载资源管理器并自动启用无线网卡，同时屏蔽所有其他进程启动路径。
方法二：删除Guest配置文件中的启动项
进入 C:UsersGuestAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup，清空该文件夹；
再打开 shell:startup（在运行框中输入），确认该路径下无任何.lnk或.bat文件——若有，Guest登录时会自动执行。
强制重定向所有浏览器下载与保存路径到内存盘
防止Guest通过浏览器下载文件到本地磁盘，必须使其所有“另存为”操作默认指向RAM盘，且禁止手动修改路径。
① 下载并安装开源工具ImDisk Toolkit（官网验证版），以管理员运行；
② 创建一个512MB的RAM虚拟磁盘，盘符设为 Z:，文件系统选NTFS；
③ 打开Edge浏览器（Guest登录后首次运行时），地址栏输入：edge://settings/downloads
④ 将“下载位置”手动改为 Z:，关闭浏览器；
⑤ 回到注册表，导航至：HKEY_USERS.DEFAULTSoftwareMicrosoftEdgeMain
新建字符串值，名称为 【DownloadDefaultDirectory】，数据填入：Z:
此注册表项会覆盖Guest用户每次启动Edge时的默认下载路径，且无法在UI中更改。
阻止Guest访问任何本地服务与协议
Guest账户仍可能通过浏览器地址栏输入 file://c:/、\localhost 或 res:// 协议触发系统组件，必须从协议处理层封堵。
以管理员身份运行PowerShell，逐条执行：
cmd /c "assoc .txt=txtfile"
cmd /c "ftype txtfile="
cmd /c "assoc .html=htmlfile"
cmd /c "ftype htmlfile="
这四条命令会清空.txt和.html文件类型的默认打开方式，使Guest双击此类文件时弹出“找不到应用程序”而非打开记事本或Edge——从而阻断通过文档间接访问磁盘的路径。
最后，执行：netsh advfirewall firewall add rule name="Block Guest Local SMB" dir=in action=block protocol=TCP localport=445 profile=any program="%SystemRoot%system32svchost.exe" enable=yes
该防火墙规则强制拦截Guest进程发起的所有SMB本地通信，杜绝其通过\127.0.0.1访问本机共享。
