Windows受限访问模式开启及演示账户设置方法

无论是展厅里的产品展示，还是会议室里的方案汇报，我们经常会遇到一个场景：需要把一台日常使用的Windows电脑临时变成一台“专用演示机”。

理想状态是，这台电脑开机后只能运行指定的演示软件（比如PPT或浏览器），操作者既不能乱翻你的个人文件，也没法打开系统设置或命令行搞破坏。听起来有点复杂？其实，通过创建一个权限被严格“锁死”的本地账户，就能轻松实现。下面这套组合拳，从账户创建到权限封锁，一步步教你搞定。

一、新建标准用户并禁用管理员权限

一切的基础，是从源头掐断特权。你需要创建一个全新的“标准用户”账户，而不是“管理员”。这两者的区别，就好比酒店房卡和总控钥匙——标准用户只能在规定区域活动，无法安装软件、修改核心设置或访问其他用户的私人领地。

操作起来很简单：

1. 按下 Win + I 打开系统设置，找到“账户”里的“家庭和其他用户”。

2. 点击“将其他人添加到这台电脑”，选择“我没有这个人的登录信息”。

3. 接着选“添加没有 Microsoft 账户的用户”，输入一个账户名，比如 DemoUser。密码可以简单设置甚至不设，毕竟演示环境通常追求快速进入。

4. 创建完成后，在用户列表里找到这个新账户，点击“更改账户类型”，务必将其设置为“标准用户”。这一步是后续所有限制生效的前提。

二、通过组策略禁用无关功能（专业版/企业版适用）

账户权限降级了，但“调皮”的用户还是可能通过其他途径搞事情，比如运行命令提示符、打开注册表编辑器或者调出控制面板。对于Windows专业版或企业版用户，本地组策略编辑器（gpedit.msc）就是你的“权限手术刀”。

1. 以管理员身份运行（Win + R 输入 gpedit.msc），打开组策略编辑器。

2. 在“用户配置 → 管理模板 → 系统”下，找到“阻止访问注册表编辑工具”，双击并启用它。这样，regedit命令就失效了。

3. 在同一路径下，启用“防止访问命令提示符”，并且记得勾选“也禁用批处理文件”，彻底封死命令行入口。

4. 转到“用户配置 → 管理模板 → Windows 组件 → 文件资源管理器”，启用“防止用户使用‘运行’命令”，让Win+R快捷键也失去作用。

5. 最后，在“用户配置 → 管理模板 → 控制面板”中，启用“禁止访问控制面板”。经过这几步，系统层面的高风险“后门”基本就被堵上了。

三、使用分配访问（Assigned Access）锁定单一应用（Windows 10/11 通用）

如果说组策略是“堵后门”，那么“分配访问”功能就是“开前门”——而且只开一扇指定的门。这个功能可以将账户强制锁定到仅运行一个UWP应用（如新版Edge、PowerPoint或白板），启动后自动全屏，无法切换任务或返回桌面，非常适合需要绝对专注的演示环境。

具体设置路径如下：

1. 首先确认你的演示应用是UWP版本（通常来自Microsoft Store）。传统的桌面程序（.exe）无法直接用于此模式。

2. 进入“设置 → 账户 → 登录选项”，向下滚动找到“分配的访问”，点击“设置”。

3. 开启“分配的访问”，点击“设置”按钮，选择你之前创建的 DemoUser 账户。

4. 在应用列表中，选择你希望锁定的那个应用。比如选择Microsoft Edge，并可以预设好要打开的网页地址；或者选择PowerPoint，并提前将演示文稿设置为默认打开文件。

5. 设置完成后，用DemoUser账户登录，电脑就会直接进入那个应用的全屏界面。这里有个小技巧：长按Shift键5秒可以临时退出这种锁定状态（仅限当前会话），方便管理员进行后续调整。

四、手动隔离用户数据与禁用敏感路径

权限和应用都锁定了，但隐私泄露的风险可能还在。即使是一个标准用户，默认情况下依然可以通过文件资源管理器，浏览到C盘Users目录下其他用户文件夹的缩略图，甚至可能打开某些未加密的文档。这就需要我们手动“筑墙”。

方法是通过修改文件夹的NTFS权限，主动拒绝演示账户的访问：

1. 找到你自己的用户文件夹（路径通常是 C:\Users\你的用户名），右键选择“属性”，进入“安全”选项卡，点击“高级”。

2. 点击“禁用继承”按钮，在弹出的窗口中，选择“从该对象中删除所有已继承的权限”。

3. 然后点击“添加”，在输入框里键入 DemoUser，点击“检查名称”确认后确定。

4. 最关键的一步：在下方权限条目中，选中刚刚添加的DemoUser，在“拒绝”这一列，勾选所有的权限复选框。尤其要确保“读取”和“列出文件夹内容”这两项被明确拒绝，这能防止对方看到文件列表和内容。

5. 最后点击“应用”，并在确认窗口中选择“将更改应用于此文件夹、子文件夹和文件”。这样，你的个人数据就对演示账户彻底隐形了。

五、家庭版替代方案：使用 lusrmgr.msc + secpol.msc 组合加固

很多家用电脑预装的是Windows家庭版，它没有组策略编辑器（gpedit.msc）。别担心，我们依然有办法实现近似的加固效果，核心工具是本地用户和组管理器（lusrmgr.msc）和本地安全策略（secpol.msc）。

1. 首先，运行 lusrmgr.msc，展开“用户”，右键点击DemoUser账户选择“属性”。确保“账户已禁用”没有勾选，并可以勾选“密码永不过期”以避免麻烦。

2. 接着，运行 secpol.msc，进入“本地策略 → 用户权限分配”。这里有两项关键设置：先检查“拒绝本地登录”里是否有DemoUser，有则删除；然后确保“允许本地登录”里包含了DemoUser。这明确了该账户的登录行为边界。

3. 需要注意的是，上述工具不涉及文件系统权限。因此，第四步中关于手动隔离用户文件夹权限的操作，在家庭版上同样必须执行，这是保护隐私不可或缺的一环。

4. 如果想进一步禁用PowerShell，可以手动修改注册表。定位到DemoUser的配置单元（HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\PowerShell），新建一个DWORD（32位）值，命名为“DisablePowerShell”，并将其数值数据设置为2，即可完全禁用。

通过以上五个步骤的组合，无论是专业版还是家庭版，你都能打造出一个高度定制化、安全可控的Windows演示专用账户，让电脑在特定场景下既好用又省心。