applocker策略需在windows专业版等系统中启用appidsvc服务后，通过组策略创建默认白名单规则并按发布者、路径或哈希添加业务软件，经审核验证后切换为强制模式生效。
在Windows系统中配置AppLocker策略，是为了让电脑只运行组织明确允许的软件，从源头堵住未知程序、捆绑安装包和恶意可执行文件的运行通道。这一步不是简单地“拉黑某个名字奇怪的exe”，而是建立一套默认拒绝、白名单驱动的执行边界——只要没被规则明确认可，任何.exe、.msi、.ps1或.appx文件都无法启动。
确认系统版本与服务状态
AppLocker仅在Windows专业版、企业版、教育版及Server系列中可用，家庭版不支持。请右键“此电脑”→“属性”，核对系统版本。
打开“服务.msc”，找到【Application Identity（AppIDSvc）】服务，将其启动类型设为“自动”，并手动启动该服务。没有它，所有AppLocker规则都不会生效，哪怕配置完成也形同虚设。
这一步不可跳过，且必须在创建任何规则前完成。
启用AppLocker并创建默认规则
按Win+R输入gpedit.msc打开本地组策略编辑器，依次展开：计算机配置→Windows设置→安全设置→应用程序控制策略→AppLocker。
首次进入时，右侧会提示“未配置AppLocker策略”。右键“AppLocker”→“属性”→切换到“强制”选项卡，勾选“配置检查”并确保所有规则集合（可执行文件、Windows Installer、脚本、DLL、打包应用）均处于“仅审核”状态——先不强制，避免误拦系统关键进程。
接着右键“可执行文件规则”→“创建默认规则”。这会自动生成三条基础白名单：允许Windows目录、Program Files目录、以及所有已签名的Microsoft发布者程序运行。这些是系统正常运转的底线保障，【务必保留，切勿删除】。
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
为业务软件添加白名单规则
方法一：按发布者创建（推荐，抗重命名/路径变更）
右键“可执行文件规则”→“创建新规则”→下一步→选择“允许”→下一步→勾选“发布者”→点击“浏览文件”定位到你信任的软件主程序（如chrome.exe或wps.exe）→下一步→输入规则名称（例：“允许WPS Office 2024”）→完成。
方法二：按路径创建（适合绿色软件或固定部署）
同样新建规则→选择“允许”→下一步→勾选“路径”→输入完整路径，例如：C:\Program Files\Tencent\WeChat\WeChat.exe 或 D:\Tools\*\*.exe（星号通配需谨慎）。注意路径末尾不能漏掉反斜杠，否则规则不匹配。
方法三：按文件哈希创建（最严格，适用于单个高危工具）
新建规则→选择“允许”→下一步→勾选“文件哈希”→浏览并选中目标文件→下一步→命名保存。该规则只认这个文件的精确指纹，哪怕改名、换位置、重签名都无效，适合锁定特定版本的运维工具。
切换为强制执行模式
第一步：验证日志行为
将策略设为“仅审核”后，让终端用户正常使用1–2天。打开“事件查看器”→应用程序和服务日志→Microsoft→Windows→AppLocker→EXE and DLL，筛选“信息级”事件，确认你添加的软件确实在“已允许”列表中，且未出现意外的“被阻止”条目。
第二步：启用强制
回到AppLocker属性→“强制”选项卡→取消勾选“仅审核”，改为勾选“强制实施规则”→确定。此时策略立即生效，非白名单程序双击即弹出“此应用已被组织阻止”的提示。
第三步：重启电脑或运行命令刷新策略
以管理员身份打开CMD，执行：gpupdate /force。无需等待重启，策略即刻加载。
