应优先使用AppLocker设拒绝规则，因其支持路径、发布者、哈希匹配，防绕过效果最佳；其次可用软件限制策略建哈希规则实现系统级拦截；用户配置黑名单仅作轻量临时方案。
想在Windows电脑上彻底阻止孩子启动某款游戏，或防止同事误开高风险工具，必须让程序在双击瞬间就失败——不是靠任务管理器结束进程，而是系统级拦截其加载入口。这需要直接干预Windows的执行决策链，且普通用户无法通过常规方式绕过。
用软件限制策略建哈希规则（防篡改最强）
这一步适用于必须杜绝任何变体执行的场景，比如禁用 procexp64.exe、powershell.exe 或某款单机游戏主程序。哈希基于文件二进制内容生成，改名、换路径、复制副本全无效。
按下 Win + R，输入 gpedit.msc 并回车，打开本地组策略编辑器。
依次展开左侧：计算机配置 → Windows 设置 → 安全设置 → 软件限制策略。若右侧显示“未定义策略”，右键“软件限制策略”→ 选择“创建软件限制策略”初始化规则集。
展开“软件限制策略”后，右键“其他规则”→ 选择“新建哈希规则”。点击“浏览”，定位并选中目标程序（如 C:\Games\StardewValley\Stardew Valley.exe）。
安全级别下拉菜单中必须选“不允许”，点击确定。注意：该策略默认只对当前计算机生效，且仅影响非管理员账户下的普通用户会话。
用AppLocker设拒绝规则（推荐首选）
这是企业版Windows最精准的执行控制方式，支持路径、发布者、哈希三种匹配逻辑，防重命名、防复制效果好，适合按用户组精细管控。
第一步：确认系统版本为Windows 10/11 专业版、企业版或教育版，并确保“Application Identity”服务已启用（运行 services.msc → 找到该项 → 启动类型设为自动并启动）。
第二步：在组策略编辑器中，导航至：计算机配置 → 策略 → 应用程序控制策略 → AppLocker → 可执行规则。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
第三步：右键“可执行规则”→ 新建规则 → 在向导中选择“拒绝”操作 → 在“用户或组”页指定目标对象（如 DOMAIN\Students 或 BUILTIN\Users），切勿选 administrators 组。
第四步：条件类型选“路径”，输入完整路径（如 C:\Program Files\Rockstar Games\Grand Theft Auto V\GTA5.exe）；若需覆盖多个安装位置，可用通配符（如 C:\Games\*\*.exe）。
第五步：首次部署务必先启用“审核模式”，观察事件查看器（应用程序和服务日志 → Microsoft → Windows → AppLocker → EXE and DLL）确认拦截无误，再切换为“强制模式”。
用用户配置黑名单快速限制（轻量临时方案）
方法一：适用于Win10/11家庭版，或需快速封禁几个常用程序名（如 chrome.exe、wechat.exe）的场景。仅匹配文件名，易被重命名绕过，不建议单独用于生产环境。
按下 Win + R → 输入 gpedit.msc → 导航至：用户配置 → 管理模板 → 系统 → “不要运行指定的Windows应用程序”。
双击该策略 → 选择“已启用” → 点击“显示”按钮 → 在值列表中每行输入一个.exe名称（如 steam.exe、epicgameslauncher.exe），不带路径、不加引号、不加空格。
方法二：若组策略编辑器不可用（如家庭版），改用注册表。按下 Win + R → 输入 regedit → 导航至 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer → 新建 DWORD（32位）值，命名为 DisallowRun，数值数据设为 1 → 再新建多个字符串值，命名为 1、2、3…，对应值分别填入完整路径（如 C:\Program Files (x86)\Tencent\QQ\Bin\QQ.exe）。
