要彻底封锁特定软件需三管齐下：一用组策略禁运行指定程序（仅文件名，大小写不敏感）；二用AppLocker建拒绝规则（支持路径/签名识别，防绕过）；三设NTFS权限拒绝目标用户读取和执行。
要让特定软件在Windows系统中对其他用户完全不可见、不可启动，必须从执行入口、策略拦截和文件权限三个层面同步封锁，仅禁用启动项或结束进程无法真正锁定。
用组策略禁止目标用户运行指定程序
该方法作用于用户登录会话层，不影响管理员或其他账户，适合家庭多用户或办公环境中的学生/普通员工账户管控。
第一步：以管理员身份按 Win + R 输入 gpedit.msc 并回车，打开本地组策略编辑器。
第二步：左侧依次展开 → 用户配置 → 管理模板 → 系统 → 找到并双击“不要运行指定的Windows应用程序”。
第三步：勾选【已启用】→ 点击【显示】按钮 → 在弹出窗口中每行输入一个要锁定的程序完整文件名（必须含 .exe 扩展名），例如：
weixin.exe
steam.exe
chrome.exe
【注意：不能写路径，只写文件名；大小写不敏感，但空格和拼写必须完全一致】
第四步：点击【确定】保存 → 注销当前账户，用被限制的用户重新登录生效。
用AppLocker创建拒绝规则（精准防绕过）
这是企业级首选方案，基于文件路径或发布者签名识别程序，重命名、复制副本、换安装目录均无效，且可精确限定到单个域用户或本地用户。
方法一：通过图形向导快速建规则
1. 按 Win + R 输入 secpol.msc 回车 → 左侧导航至 安全设置 → 应用程序控制策略 → AppLocker → 可执行规则
2. 右键【可执行规则】→ 选择【创建新规则】→ 第一页点【下一步】→ 第二页选【拒绝】→ 第三页选【用户或组】→ 点【浏览】添加具体用户名（如 STUDENT\lihua）
3. 第四页选【路径】→ 点【浏览】定位到目标程序绝对路径（如 C:\Program Files\WeChat\WeChat.exe）→ 命名后点【创建】
方法二：命令行强制刷新策略（避免手动等缓存）
以管理员身份运行CMD，执行：
gpupdate /force
这条命令会让新规则立即加载，无需重启或注销。
直接剥夺文件执行权限（底层加固）
前两种策略依赖系统服务拦截，而NTFS权限是从文件系统底层切断执行链路，两者叠加才能彻底封死所有启动方式（包括快捷方式、批处理调用、计划任务等）。
找到目标软件的主程序文件（如 C:\Program Files\Tencent\WeChat\WeChat.exe）→ 右键 → 属性 → 安全 → 编辑
在用户列表中选中被限制的账户（如 STUDENT\lihua）→ 在下方权限框中，将【读取和执行】、【读取】、【列出文件夹内容】全部设为【拒绝】
【关键提醒：务必只对目标用户设“拒绝”，不要勾选“替换子容器和对象的所有者”，否则可能意外锁死管理员自身】
点击【确定】→ 若弹出继承警告，选【仅将更改应用于此对象】→ 完成。
