必须用AppLocker建白名单策略，需确认系统版本、启用Application Identity服务，创建默认规则并手动启用，补充业务软件规则，分阶段先审核后强制执行。
要让Windows系统只运行你批准的软件，必须用AppLocker建立白名单策略，不能靠禁止列表或简单开关——它默认放行一切，直到你明确告诉它“只信这些程序”。
确认系统与服务是否就绪
AppLocker仅在Windows 10/11企业版、教育版或Windows Server 2012及以上版本中可用，家庭版和专业版不支持。按Win+R输入winver确认版本；若版本符合，打开services.msc，找到Application Identity服务，将其启动类型设为“自动”，并确保状态为“正在运行”。【此服务未启用时，所有AppLocker规则均无效】
域环境必须通过组策略管理控制台（GPMC）部署；单机用户可使用gpedit.msc，但仅限支持版本。
创建可信基线：先生成默认规则
进入【计算机配置 → 策略 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker】，右键“可执行规则”→“创建默认规则”。这会自动生成三条发布者规则，分别放行%WINDIR%\*、%PROGRAMFILES%\*、%PROGRAMFILES(X86)%\*下由微软签名的程序。
这些规则是系统运转底线，但不会自动启用——需双击每条规则，在属性页中勾选“配置规则强制执行”，再单独启用该规则集。若内部软件装在C:\ERP\Bin\或D:\Tools\等非标路径，此时必须手动补充对应路径或发布者规则，否则业务软件将无法启动。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
添加业务软件：优先用发布者规则
方法一：发布者规则（推荐）
右键“可执行规则”→“创建新规则”→选择“允许”→下一步→选“发布者”→点击“浏览”，定位到已安装的主程序（如C:\Program Files\WeChat\WeChat.exe）。AppLocker自动提取证书发行者、产品名、版本号，后续同签名更新自动放行。
方法二：哈希规则（适用于无签名内部工具）
向导中选“文件哈希”→“浏览”选中目标EXE（如Python打包的客户端），系统生成唯一SHA256值锁定版本。每次软件更新都需重建规则，维护成本高，仅作兜底。
方法三：路径规则（慎用）
选“路径”→“浏览”定位到安装目录（如C:\MyApp\WeChat.exe），或输入C:\MyApp\*.exe。注意：【避免使用C:\*\*.exe这类泛用通配符，极易被恶意文件利用】
分阶段上线：先审核，再强制
第一步：在AppLocker根节点右键→“属性”，将“可执行规则”设为“仅审核”。
第二步：保持该模式运行3–7天，让终端用户正常使用所有业务软件、后台服务、计划任务。
第三步：打开事件查看器→应用程序和服务日志→Microsoft→Windows→AppLocker→EXE and DLL，筛选事件ID 8003（被阻止）和8004（被允许），导出日志分析高频拦截项。
第四步：根据日志结果补充缺失规则，确认无关键误拦后，回到根节点属性页，将对应规则类型改为“已启用”。
第五步：执行gpupdate /force，重启电脑生效。
