必须同时启用“启用屏幕保护程序”和“在恢复时显示登录屏幕”两项计算机配置策略，前者设定空闲超时（如300秒），后者强制退出屏保时跳转至登录界面；还需禁用待机、阻止用户修改屏保设置以防止绕过。

在 windows server 域环境中，要通过组策略强制启用屏幕保护程序并实现密码锁定，核心是让屏保成为锁屏的可靠触发器——必须同时启用两个策略，缺一不可，且都必须配置在计算机配置路径下。

启用屏幕保护程序并设置空闲等待时间

该策略本身不锁屏，只控制空闲多久后启动屏保，为后续密码验证提供前提。

• 路径：计算机配置 → 管理模板 → 控制面板 → 个性化
• 启用策略：启用屏幕保护程序（设为“已启用”）
• 同步配置：屏幕保护程序超时(秒)，例如填入 300（5分钟）或 600（10分钟）
• 注意：仅启用此项，用户轻动鼠标/键盘就会直接返回桌面，无任何安全防护作用

强制恢复时显示登录屏幕（真正触发锁屏）

这是实现“密码强制锁定”的关键一步。它调用 Windows 原生锁屏机制（等效 Win+L），退出屏保时必须输入域账户密码、PIN 或 Windows Hello 才能继续操作。

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 路径：同上，仍在 计算机配置 → 管理模板 → 控制面板 → 个性化
• 启用策略：在恢复时显示登录屏幕（必须设为“已启用”）
• 生效后，屏保结束不再返回桌面，而是跳转至标准登录界面
• 若此策略未启用，前面所有设置均无效

防止被绕过的关键补充项

部分终端可能因本地设置或电源策略干扰导致锁屏失效，需同步加固：

• 禁用待机干扰：路径为 计算机配置 → 管理模板 → 系统 → 电源管理 → 交互式设置，将 当计算机空闲时允许待机 设为“已禁用”
• 封堵用户覆盖：在同一个性化路径下，启用 阻止更改屏幕保护程序 和 阻止更改屏幕保护程序超时
• 确认策略位置：所有策略必须位于“计算机配置”，用户配置下的同类策略在域环境中对锁屏无实质影响

验证与刷新策略

配置完成后需主动验证是否真正生效：

• 客户端执行：gpupdate /force，然后注销再登录
• 快速检查策略应用情况：gpresult /r 查看是否列出目标 GPO；或运行 rsop.msc，展开对应路径确认两项主策略状态均为“已启用”
• 手动测试：让计算机空闲超过设定时间，移动鼠标应弹出登录界面，而非直接返回桌面