必须通过组策略启用“删除任务管理器”策略才能彻底禁用：用户配置路径适用于当前用户，计算机配置或域GPO路径更彻底；需执行gpupdate /force或重启验证，并检查注册表DisableTaskMgr值是否为1。
要彻底阻止普通用户打开任务管理器，必须通过组策略关闭其所有入口——包括快捷键（Ctrl+Shift+Esc）、右键任务栏、运行框输入taskmgr.exe、甚至PowerShell中调用Start-Process，仅改注册表或只禁一个入口都容易被绕过。
启用“删除任务管理器”策略
打开本地组策略编辑器：按 Win+R 输入 gpedit.msc → 回车。
导航路径：用户配置 → 管理模板 → 系统 → Ctrl+Alt+Del选项。
双击右侧“删除任务管理器”，选择“已启用”，点击确定。
【此设置会同时屏蔽taskmgr.exe进程启动、PowerShell调用、以及所有图形化入口】。若需对设备上所有用户（含系统服务账户）生效，应改用“计算机配置”路径下的同名策略，否则仅当前登录用户受控。
域环境统一管控（GPMC方式）
在域控制器上打开组策略管理控制台：运行 gpmc.msc。
定位目标GPO（例如链接到“客服终端”OU的策略），右键→“编辑”。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
路径选择：计算机配置 → 管理模板 → 系统 → Ctrl+Alt+Del选项 → “删除任务管理器” → 设为“已启用”。
这一步比用户配置更彻底，避免用户切换账户后策略失效；但注意：若该GPO未正确链接至目标OU，或被更高优先级GPO覆盖，则策略不会落地。
验证与强制刷新策略
方法一：在目标计算机以管理员身份运行命令提示符，执行：gpupdate /force。
方法二：直接注销当前用户并重新登录，或重启系统。
测试是否生效：尝试按下 Ctrl+Shift+Esc、右键任务栏→“任务管理器”、运行框输入 taskmgr → 均应弹出提示：“此操作已被管理员禁用”。
若仍能打开，立即检查注册表项 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr 是否被设为0——组策略与注册表冲突时，注册表值可能覆盖策略效果。
