共用電腦、公司辦公電腦、孩子/長輩使用的裝置，如何防止隨意安裝不明軟體、惡意程式、工具列、遊戲？本文提供 5 種不同層級的管控方案，從群組原則、註冊表、服務、使用者帳號權限到第三方工具，按安全性與便利性排序，任君選擇。

方案一：群組原則 (GPO) — 企業級、最徹底、專業版/企業版/教育版適用

1. Win+R 輸入 gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：電腦設定 → 系統管理範本 → Windows 元件 → Windows Installer。
3. 雙擊右側「關閉 Windows Installer」 → 選「已啟用」 → 「一律」禁止 → 確定。
4. 同目錄下啟用「禁止使用者安裝」→ 選「已啟用」。
5. 進一步限制：使用者設定 → 系統管理範本 → 系統 → 「只執行允許的 Windows 應用程式」 → 啟用 → 「顯示」→ 新增允許執行的 .exe 完整路徑 (如 C:\Windows\notepad.exe、C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE)。

效果：所有 .msi/.exe 安裝程式被攔截，僅允許白名單程式執行。管理員帳號不受限 (需另行設定)。

方案二：註冊表修改 (家用版/無 GPO 環境)

Windows Registry Editor Version 5.00

; 禁用 Windows Installer 服務
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer]
"DisableMSI"=dword:00000001

; 限制僅允許執行白名單程式 (需配合 AppLocker 或軟體限制原則)
; 家用版建議改用方案三/四/五

將上述內容存為 disable_installer.reg，雙擊匯入 → 重啟生效。註冊表法易被管理員權限使用者逆向修改，安全性較 GPO 低。

方案三：停用 Windows Installer 服務 (簡單粗暴)

1. Win+R → services.msc。
2. 找到 Windows Installer → 右鍵「內容」。
3. 「啟動類型」改為「已停用」 → 「停止」服務 → 確定。

效果：所有呼叫 msiexec.exe 的 .msi 安裝包無法執行。副作用：Windows Update、Office 更新、驅動程式安裝、部分合法軟體更新均會失敗。需臨時啟用服務才能安裝/更新。

方案四：標準使用者帳號 + UAC (最推薦家庭/個人)

1. 設定 → 帳號 → 家庭與其他使用者 → 新增「標準使用者」帳號給他人使用。
2. 你自己使用「管理員」帳號，設定強密碼/Windows Hello。
3. 他人需安裝軟體時 → 右鍵安裝程式 → 「以系統管理員身分執行」 → 輸入你的管理員密碼 → 你審核後允許。
4. UAC 設定：控制台 → 使用者帳號 → 變更使用者帳號控制設定 → 拉至「總是通知」 (最高等級)。

優點：不破壞系統服務、Windows Update 正常、權責清晰、零額外工具。缺點：需你親自輸入密碼授權，稍微麻煩。

方案五：第三方軟體鎖/資料夾加密/應用程式控制 (輔助)

• 超級兔子/360 系統修復/火綿防護：提供「禁止安裝新軟體」一鍵開關，底層同樣調用 GPO/註冊表/服務。
• AppLocker (企業版) / WDAC (Windows Defender Application Control)：基於簽名/路徑/雜湊的強制執行控制，繞過極難，企業級首選。
• 資料夾權限鎖定：將 C:\Program Files、C:\Program Files (x86)、C:\Windows 設為「唯讀」給標準使用者，但極易導致系統更新/軟體運行異常，不推薦。

方案選擇決策矩陣

場景	推薦方案	理由
企業域環境、批量管理	GPO + AppLocker/WDAC	集中管控、審計、合規、難繞過
專業版/企業版單機、家庭共用	GPO (方案一)	原生、完整、可精細白名單
家用版單機、家庭共用	標準帳號 + UAC (方案四)	不傷系統、更新正常、體驗最好
臨時借用、快速鎖死	停用 Windows Installer 服務 (方案三)	秒級生效、但會阻擋合法更新
不想碰系統設定、圖形化介面	第三方工具 (方案五)	一鍵操作、底層同 GPO/註冊表

進階：允許特定安裝包自動安裝 (GPO 白名單)

在「只執行允許的 Windows 應用程式」白名單中，除 .exe 外，亦可加入 .msi 安裝包路徑。或使用「軟體限制原則」→「額外規則」→ 新增「路徑規則」/「雜湊規則」/「憑證規則」設為「不受限制」，允許特定安裝程式繞過限制。

管控安裝權限的核心原則是「最小權限」：日常使用標準帳號，安裝/維護由管理員把關。GPO/AppLocker 是技術手段，帳號分離是管理本質。選對方案，電腦乾淨、穩定、安全，不再做「免費維修工」。