前言
Windows 7 提供兩層程式執行控制機制：傳統「軟體限制原則」（黑/白名單）與全新「AppLocker」（僅旗艦版/企業版）。本文詳細說明兩者設定步驟與差異。
一、軟體限制原則：簡易黑/白名單
路徑
gpedit.msc → 「使用者設定」→ 「系統管理範本」→ 「系統」→
• 「不要執行指定的 Windows 應用程式」（黑名單）
• 「只執行指定的 Windows 應用程式」（白名單）
設定範例：禁止特定程式
- 雙擊「不要執行指定的 Windows 應用程式」→ 「已啟用」。
- 點選「顯示」→ 「新增」→ 輸入完整檔名含副檔名（如
notepad.exe）。
- 確定套用。再次執行該程式會被攔截並彈出提示。
白名單設定方式相同，差別在於「只允許清單內程式執行」。
二、AppLocker：進階彈性控制（旗艦版/企業版專屬）
前置需求
- 「控制台」→ 「系統管理工具」→ 「服務」→ 「Application Identity」設為「自動」並啟動。
- 以管理員身分執行
gpedit.msc。
路徑
gpedit.msc → 「電腦設定」→ 「Windows 設定」→ 「安全性設定」→ 「應用程式控制原則」→ 「AppLocker」
三大規則類型
- 執行檔規則：控制
.exe、.com 等執行檔。
- Windows Installer 規則：控制
.msi、.msp 安裝套件。
- 指令碼規則：控制
.ps1、.bat、.vbs、.js 等指令碼。
建立規則流程（以執行檔規則為例）
- 右鍵「執行檔規則」→ 「建立預設規則」（確保系統核心程式正常執行）。
- 右鍵 → 「建立新規則」→ 依嚮導操作：
- 權限：允許 / 拒絕。
- 使用者或群組：可針對特定使用者、群組或「Everyone」。
- 條件（三選一）：
- 發佈者：依數位簽章（發行者、產品名、檔案版本），可用滑桿調整範圍（如：僅封鎖 QQ 2010 v1.45 / 所有 QQ 2010 / 所有騰訊產品）。最推薦，彈性最高。
- 路徑：依資料夾/檔案路徑（支援萬用字元）。
- 檔案雜湊：依 SHA-256 雜湊值，精確鎖定特定版本檔案。
- 命名規則 → 完成。
比較總結
| 特性 | 軟體限制原則 | AppLocker |
|---|
| 支援版本 | 所有版本 | 旗艦版/企業版 |
| 規則彈性 | 僅路徑/雜湊 | 發佈者/路徑/雜湊 |
| 使用者/群組針對性 | 無（僅使用者設定） | 支援（電腦設定層級） |
| 預設規則保護系統 | 無 | 有（一鍵建立） |
| 適用對象 | 執行檔 | 執行檔 + MSI + 指令碼 |
建議
- 家用/專業版：善用「軟體限制原則」白名單鎖定允許程式。
- 企業/旗艦版：全面改用 AppLocker，善用「發佈者條件」達成版本級/廠商級管控。
- 規則部署前請先在測試機驗證，避免誤封鎖關鍵業務程式。
