共用電腦時，若需防止特定使用者執行某些程式（如理財軟體、設定工具），卻不想解除安裝，Windows「軟體限制原則」提供完美解決方案。本文以 Windows Server 2003 為例，詳細說明以路徑規則封鎖指定程式的圖文步驟，同樣適用於 XP/7/10/11 專業版以上版本。
適用情境
- 多人共用電腦，需限制特定帳號執行特定程式。
- 程式不可解除安裝（共用授權、相依性考量）。
- 需集中管理、易於部署與稽核。
設定步驟：建立路徑規則封鎖程式
- 以管理員登入，執行
gpedit.msc 開啟「群組原則編輯器」。
- 依序展開：
電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則
- 若右側無任何規則，右鍵「軟體限制原則」→「建立新軟體限制原則」。
此時會出現「安全性等級」與「其他規則」兩個節點。
- 右鍵「其他規則」→「新增路徑規則」。
- 在「新增路徑規則」對話方塊：
— 路徑：點選「瀏覽」，選取欲封鎖程式的完整路徑（如 C:\Program Files\FinanceApp\Finance.exe）。
— 安全性等級：下拉選單選擇 「不允許」。
— 描述：輸入說明（如「禁止財務部以外人員執行理財軟體」）。
— 點選「確定」。
- 若有多支程式需封鎖，重複步驟 4-5 新增多條路徑規則。
- 執行
gpupdate /force 強制重新整理群組原則，或重新登入/重開機生效。
進階技巧與注意事項
1. 使用通用路徑變數提高彈性
%ProgramFiles%、%SystemRoot%、%AppData% 等環境變數可替代固定路徑，適應不同安裝位置。
2. 雜湊規則：防止檔案改名/移動繞過封鎖
- 若使用者將程式複製到其他資料夾或改名，路徑規則會失效。
- 改用「新增雜湊規則」，針對檔案內容（SHA-256）封鎖，無論路徑/檔名如何變更皆有效。
- 取得雜湊值：
certutil -hashfile "C:\Path\App.exe" SHA256。
3. 網路區域規則：針對來源區域封鎖
- 可依據網站區域（內部網路、信任網站、網際網路、受限制網站）限制程式執行，適合封鎖從網路下載的未簽署程式。
4. 強制套用對象
- 預設套用至所有使用者（含管理員）。若需排除管理員，可在「安全性等級」節點設定「預設安全性等級」為「不受限制」，再針對特定群組套用限制（需搭配「軟體限制原則」→「執行」→「設定使用者/群組」）。
5. 稽核與疑難排解
- 事件檢視器 → Windows 記錄 → 應用程式，來源
Software Restriction Policies 記錄被封鎖事件。
- 若合法程式被誤封鎖，檢查路徑大小寫、環境變數展開結果、是否為捷徑而非實體執行檔。
替代方案快速比較
| 方案 | 優點 | 缺點 | 適用版本 |
|---|
| 軟體限制原則（本文） | 內建、集中管理、支援路徑/雜湊/區域規則 | 介面較舊、管理員預設也受限 | XP/2003/Vista/7/8/10/11 Pro+ |
| AppLocker | 規則更豐富（發行者、檔案版本）、支援例外、可稽核模式 | 僅 Enterprise/Education 版 | 7/8/10/11 Enterprise+ |
| 第三方工具（如 AppGuard） | 介面友善、行為分析、防勒索軟體 | 需額外購買/訂閱 | 所有版本 |
善用內建的軟體限制原則，無需額外成本即可實現精準的程式執行管控。建立標準化的規則建立、測試、部署、稽核流程，讓共用電腦環境更安全、更合規。
