手動封鎖 Windows XP SP2 自動推送部署：註冊表與腳本雙重方案

前言

Windows XP Service Pack 2 (SP2) 於 2004 年 8 月釋出，帶來重大安全性增強 (Windows 防火牆、IE 強化、記憶體保護等)。企業 IT 部門常需 延緩部署 以驗證相容性、測試應用程式、比較效能基準，但同時仍希望接收其他安全性更新。本文提供註冊表修改與官方腳本兩種方法，精準封鎖 SP2 透過自動更新推送，不影響其他更新。

方法一：註冊表修改 (單機/群組原則部署)

1. 開啟登錄編輯器 (regedit)，瀏覽至：
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
2. 若路徑不存在，手動建立缺失的金鑰 (Policies → Microsoft → Windows → WindowsUpdate)。
3. 在右側空白處右鍵 → 新增 → DWORD (32 位元) 值，名稱輸入：
   DoNotAllowXPSP2
4. 雙擊該值，將 數值資料 設為 1 (十六進位或十進位皆可)。
5. 按確定，關閉登錄編輯器。生效即時，無需重開機。

群組原則部署 (網域環境)：將上述註冊值封裝為行政範本 (.adm) 或使用群組原則偏好設定 (GPP) 註冊表項目，推送至目標電腦 OU。

方法二：微軟官方封鎖/解封腳本 (適合大量部署)

微軟提供 BlockSP2.vbs (或類似命名) 腳本，支援命令列參數：

cscript BlockSP2.vbs /b   :: 封鎖 SP2 自動更新
cscript BlockSP2.vbs /u   :: 解除封鎖，允許 SP2 推送

腳本內部同樣操作 DoNotAllowXPSP2 註冊值，並可透過 SMS、SCCM、登入腳本、GPO 啟動腳本大規模部署。詳情請搜尋 Microsoft Knowledge Base 文章 KB 885305 或訪問 Microsoft Download Center 搜尋「Block SP2 Deployment」。

關鍵限制：120 天封鎖期限

此封鎖機制自 2004 年 8 月 16 日起僅有效 120 天 (至 2004 年 12 月中)。 期限屆滿後，Windows Update 將忽略此設定強制推送 SP2。這反映微軟對 SP2 安全性重要性的判斷：最終所有 XP 機器都必須升級 SP2。

現今 (2014 年 XP 結束支援後) 此機制已失效，但註冊值結構在後續 Windows 版本 (Vista/7/8/10/11) 以類似方式用於封鎖特定功能更新/版本升級 (如 TargetReleaseVersion, DeferFeatureUpdatesPeriodInDays 等)。

驗證封鎖是否生效

1. 開啟「自動更新」設定 (sysdm.cpl → 自動更新)。
2. 點選「自訂」檢視可用更新清單。
3. 確認 「Windows XP Service Pack 2」不在清單中，而其他關鍵更新 (如 KBxxxxxx) 正常顯示。

替代方案：WSUS / SCCM 精準控管

企業環境建議部署 Windows Server Update Services (WSUS) 或 System Center Configuration Manager (SCCM)：

• 在伺服器端審核、拒絕 SP2 更新，客戶端不會下載安裝。
• 可分階段部署：先測試群組 → 驗證相容 → 再推廣生產群組。
• 提供詳細合規報表、頻寬節流、離線映像注入等進階功能。

此為長期、可擴充的企業級修補管理解決方案，優於單機註冊表封鎖。

結語

透過 DoNotAllowXPSP2=1 註冊值或官方腳本，可在 120 天窗口期內精準封鎖 XP SP2 自動推送，保留其他安全更新管道。現代 Windows 版本沿用相似機制控管功能更新 (如 Windows 10/11 的 TargetReleaseVersion)，理解此原理有助於掌握跨版本的更新管理策略。企業環境強烈建議導入 WSUS/SCCM 實現集中化、可稽核的修補管理。