共用電腦時，想限制他人使用特定程式（QQ、遊戲、影音軟體），卻不想刪除軟體、不想建立受限帳號。Win7 專業版/企業版/旗艦版內建 AppLocker（應用程式控制原則），可依據發行者憑證、路徑、檔案雜湊建立規則，精準封鎖目標程式及其關聯元件，且不影響系統核心運作。
建立「封鎖 QQ 全家桶」規則完整流程
- Win+R → `secpol.msc` 開啟「本地安全性原則」。
- 展開：「應用程式控制原則」→「AppLocker」→「執行規則」。
- 右鍵空白處 →「建立新規則」→「下一步」。
- 動作： 選擇「拒絕」→ 用戶/群組：選「所有人」（或特定群組）→「下一步」。
- 條件： 選「發行者」（最強健，繫結數位簽章，路徑變更不影響）→「下一步」。
- 發行者條件設定： 點選「瀏覽」→ 選擇任一 QQ 相關執行檔（如 `QQ.exe`、`QQMusic.exe`、`QQGame.exe`）→ 系統自動讀取簽章資訊（發行者：騰訊科技、產品名稱、版本）。
調整版本範圍：建議將版本設為「任何版本」（滑桿拉至最寬），涵蓋所有歷史/未來版本。→「下一步」。
- 例外（可選）： 若需允許特定元件（如僅允許 QQ 郵件元件），可在「例外」頁新增該檔案簽章/路徑/雜湊。→「下一步」。
- 名稱與描述： 命名為「封鎖騰訊全家桶」→「建立」。
- 預設規則提示： 首次建立規則會提示建立預設規則（允許系統簽署檔案運行），務必點選「是」，否則系統核心程式可能被誤封鎖導致無法開機。
規則生效與驗證
- 規則建立後即時生效，無需重開機。
- 嘗試啟動 QQ、QQ 音樂、QQ 影音、QQ 遊戲、甚至 QQ 安裝程式，均會彈出「此程式被群組原則封鎖」對話框，無法運行。
- 若需暫時解除，回 secpol.msc 停用/刪除該規則，或將當前用戶加入「例外」用戶群組。
進階應用與避坑
- 三種條件類型差異：
- 發行者： 繫結 Authenticode 數位簽章，版本可設範圍，最推薦（軟體更新不失效、路徑變更不失效）。
- 路徑： 依檔案/資料夾路徑，支援萬用字元（`C:\Program Files\Tencent\*`），但軟體遷移/更新易失效。
- 檔案雜湊： 依 SHA-256 雜湊，極精準（特定版本單一檔案），但版本更新即失效。
- 適用版本限制： 僅 Win7 專業版/企業版/旗艦版支援 AppLocker；家用版無此功能（可用軟體限制原則 SRP 替代，但功能較弱）。
- 規則優先序： 拒絕規則優先於允許規則。若同時存在「允許所有」與「拒絕 QQ」，QQ 仍被封鎖。
- 不影響已運行進程： 規則生效後，已在記憶體中運行的 QQ 進程不會被終止，需手動關閉後才無法重啟。
- 審核模式： 建立規則前可先啟用「審核模式」（AppLocker 內容 →「設定為僅審核」），觀察事件日誌（應用程式與服務記錄 → Microsoft → Windows → AppLocker），確認無誤封後再切換至「強制執行」。
AppLocker 是 Win7 企業級功能下放至專業版的珍貴遺產。善用「發行者條件 + 版本範圍 + 審核模式」，即可建立精準、可維護、不傷無辜的軟體管控策略，真正實現「我的電腦我做主」。
