核心是禁用U盘写入：打开gpedit.msc→计算机配置→管理模板→系统→可移动存储访问→启用“可移动磁盘：拒绝写入”→执行gpupdate /force刷新；同时可禁用剪贴板服务（regedit改cbdhsvc的Start为4）、禁用Server和Print Spooler服务以阻断共享与打印外泄。
要通过电脑本地策略设置数据防拷贝，核心是阻断常见外泄路径——尤其是U盘写入、网络外发和文件复制行为，且不依赖第三方软件安装，适用于Windows专业版/企业版环境。
禁用U盘写入（组策略强制生效）
第一步：按 Win + R 输入 gpedit.msc 回车，打开本地组策略编辑器。这一步必须以管理员身份运行，否则策略无法保存。
第二步：依次展开左侧树形目录 → 计算机配置 → 管理模板 → 系统 → 可移动存储访问。
第三步：在右侧找到【可移动磁盘：拒绝写入】双击 → 选择“已启用” → 点击“确定”。【该策略仅阻止写入，U盘仍可读取；若需完全禁用，请同步启用“可移动磁盘：拒绝读取”】
第四步：按 Win + R 输入 cmd，右键以管理员身份运行，执行 gpupdate /force 强制刷新策略。重启资源管理器或注销重登后生效。
禁止剪贴板跨进程复制（防截图/文本窃取）
方法一：注册表封锁剪贴板服务
按 Win + R 输入 regedit → 导航至 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicescbdhsvc → 右键“Start” → 修改数值数据为 4（禁用）。此操作会彻底关闭Windows剪贴板历史与云同步功能，但普通Ctrl+C/V仍可用。
方法二：组策略限制剪贴板重定向（仅限远程桌面场景）
在组策略编辑器中，定位到 计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面会话主机 → 设备和资源重定向 → 禁用“允许剪贴板重定向”。【此设置对本地桌面无效，仅作用于RDP连接】
锁定文件共享与网络外发通道
① 禁用SMB文件共享入口：
Win + R → services.msc → 找到“Server”服务 → 右键“属性” → 启动类型设为“禁用” → 停止该服务。这将关闭本机作为SMB服务器的功能，他人无法通过\IP地址访问你的共享文件夹。
② 阻断浏览器下载与上传：
组策略路径：计算机配置 → 管理模板 → Windows组件 → Internet Explorer → 安全功能 → 下载 → 启用“限制文件下载”；同时在“附件管理器”中启用“限制附件执行”。【注意：Edge浏览器不受此IE策略控制，需另行部署扩展或使用DLP软件】
③ 关闭默认打印后台程序（防PDF虚拟打印导出）：
services.msc 中找到 “Print Spooler” → 属性 → 启动类型改为“禁用”。重启后所有本地和网络打印功能失效，包括“另存为PDF”选项。
