gpo应用冲突排查核心是“谁最后落地、谁说了算”，遵循lsdou顺序（本地→站点→域→ou），同级按链接序号小者优先，强制策略（enforced）可穿透阻止继承，需结合gpresult和get-gpo验证实际生效情况。
排查组策略（gpo）应用冲突，核心是搞清“谁最后落地、谁说了算”。不是看策略多厉害，而是看它在处理链中出现的位置和是否被强制锁定。
看清楚策略处理顺序：LSDOU 是基础
Windows 按固定路径逐层应用策略：本地 → 站点 → 域 → 组织单位（OU），自顶向下执行。同一层级里，链接顺序（Link Order）数字越小的 GPO 越晚处理，优先级越高——也就是“后应用者胜出”。比如域级有两个 GPO，链接序号分别是 1 和 2，序号 1 的会覆盖序号 2 中相同设置项。
- 本地策略只影响本机，不参与域内继承
- 站点策略适用于物理位置相近的计算机，但实际使用频率较低
- 域策略影响整个域，默认是安全基线的起点
- OU 策略最灵活，常用于部门或角色差异化配置，天然覆盖上级同名设置
识别“强制执行”（Enforced）是否在起作用
只要某个 GPO 在上级容器（如域或父 OU）被设为“强制”，它就会穿透所有子 OU 的“阻止继承”设置，稳稳生效。这不是优先级更高，而是它获得了“免检通行权”。很多看似被阻止了却还在生效的策略，根源就在这里。
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 在 GPMC 中查看 GPO 链接旁是否有向下的锁形图标
- 用命令快速筛查：Get-GPO -All | Where-Object {$_.IsEnforced}
- 生成详细报告：gpresult /h report.html，在“Applied GPOs”列表里带“Enforced”标识的就是穿透项
确认“阻止继承”是否真起效
阻止继承（Block Inheritance）只对非强制 GPO 有效，且仅作用于当前 OU 层级。它不能拦住强制策略，也不能拦住手动链接到该 OU 的其他 GPO。
- 检查目标 OU 属性 → “组策略”选项卡 → 是否勾选“阻止继承”
- 注意：林根域、顶级域没有父容器，无法启用此选项
- 若策略仍被应用，大概率是上游存在强制 GPO，而不是阻止没配对
验证实际生效值：别只看配置，要看结果
策略是否真正写入系统，得靠终端反馈。用户登录或计算机启动后，策略才完成应用；前台处理（登录/启动时）和后台刷新（默认 90 分钟）行为不同，排查要选对时机。
- 立即刷新并强制更新：Invoke-GPUpdate -Force
- 查看当前生效的全部策略和具体设置：gpresult /v 或导出 HTML 报告
- 对比“已应用 GPO”与“未应用 GPO”原因，常见有：安全筛选未包含目标用户/计算机、WMI 筛选不匹配、权限不足等
