前言
Win7 專業版/旗艦版/企業版內建 **AppLocker (應用程式控制原則)**，比舊版「軟體限制原則」更強大：支援發布者簽名、檔案雜湊、路徑三種條件，可精準到版本號、簽名者、檔案雜湊值。
核心前置：啟用 Application Identity 服務
AppLocker 預設被系統屏蔽，**必須啟用此服務規則才生效**：
- Win+R →
services.msc。
- 找到 Application Identity → 右鍵「屬性」→ 啟動類型「自動」 → 「啟動」。
未啟用時建立規則無任何效果，這是最常見的坑。
快速上手：建立預設可執行規則
- Win →
gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker → 可執行規則。
- 右鍵空白處 → 「建立預設規則」→ 自動生成三條：
① 允許所有人執行 `C:\Program Files\*`
② 允許所有人執行 `C:\Windows\*`
③ 允許管理員執行所有 (`*`)
- 將規則 ① 操作改為「拒絕」→ 普通用戶無法執行 Program Files 外程式。
進階：個性化規則 — 允許所有路徑、封鎖特定程式
- 編輯規則 ① → 「路徑」頁籤 → 路徑改為 `*` (允許所有路徑)。
- Win →
gpupdate /force 強制刷新生效。
- 同規則 → 「例外」頁籤 → 「新增」→ 瀏覽選取 `Foxmail.exe` → 確定。
- 結果：普通用戶可執行任意程式，**但 Foxmail 被拒絕**。
實戰：封鎖小孩使用 QQ 2009 SP2，允許 QQ 2008
- 右鍵「可執行規則」→ 「建立新規則」→ 下一步。
- 權限：選擇孩子帳號 (「選取使用者或群組」→ 進階 → 立即尋找 → 雙擊選中)。
- 操作：「拒絕」 → 下一步。
- 條件類型選「發布者」 (數位簽名驗證，防改名/移動路徑繞過)。
- 瀏覽選取 `QQ.exe` (2009 SP2) → 自動解析發布者/產品名/版本。
- 滑桿上拉至「檔案名」層級 → 封鎖**該發布者簽名的所有版本 QQ**。
- 下一步 → 例外：新增「路徑」條件 → 選取 `QQ.exe` (2008 版路徑) → 允許低版本。
- 命名描述 → 「建立」完成。
驗證結果
孩子帳號登入：
✅ 可執行 QQ 2008
❌ 執行 QQ 2009 SP2 彈出「被系統管理員阻擋」
擴展：Windows 安裝程式規則 / 腳本規則
- Windows 安裝程式規則： 限制 `.msi` 安裝包，防未授權軟體安裝。
- 腳本規則： 限制 `.ps1/.bat/.cmd/.vbs/.js`，防惡意腳本執行。
- 操作邏輯同可執行規則，條件類型支援發布者/雜湊/路徑。
總結
AppLocker 核心三步：**啟用 Application Identity 服務 → 建立發布者條件規則 (防繞過) → 配置例外精準放行**。配合群組策略部署，是企業/家庭端點管控的原生神器，無需第三方軟體。
