applocker策略必须通过set-applockerpolicy powershell cmdlet（仅windows powershell）提交，c#不可直接写xml文件生效；需管理员权限、验证xml合法性（convertfrom-applockerpolicy）、严格遵循规则顺序与格式，并慎用-merge/-reset参数。
AppLocker策略XML不能直接用C#写入系统生效
Windows不允许程序直接修改AppLockerPolicy.xml文件并期望它被策略引擎加载——系统只认通过Set-AppLockerPolicy PowerShell cmdlet 或组策略编辑器提交的策略，且会校验签名、版本和哈希。你用C#生成的XML即使结构完全正确，手动覆盖%windir%\System32\GroupPolicy\Microsoft\Windows\AppLocker\下的文件也不会生效，重启GPUpdate也不行。
- AppLocker策略由LSASS进程在后台解析，依赖GPO基础设施，不是纯文件驱动
- 策略XML必须带有效
PolicyVersion、RuleCollectionType和PolicyID，且需经ConvertFrom-AppLockerPolicy验证 - 直接写文件可能触发Windows Defender或Intune合规检查失败
必须通过PowerShell互操作调用Set-AppLockerPolicy
C#唯一可靠路径是启动PowerShell进程并执行cmdlet。.NET 5+推荐用System.Management.Automation（需NuGet包Microsoft.PowerShell.SDK），但要注意：PowerShell Core（pwsh）不支持AppLocker cmdlet，必须用Windows PowerShell（powershell.exe）。
- 调用前确认目标机器已启用AppLocker服务：
Get-Service AppIDSvc状态为Running - 策略XML必须先用
ConvertFrom-AppLockerPolicy -Xml <xml></xml>验证合法性，否则Set-AppLockerPolicy静默失败 - 需要管理员权限运行C#进程，否则PowerShell会报
Access is denied错误 - 示例关键代码片段：
var psi = new ProcessStartInfo("powershell.exe", "-Command \"& {Set-AppLockerPolicy -Xml '...your valid xml...' -Merge}\"");
ConvertFrom-AppLockerPolicy才是真正的校验关卡
很多人以为只要XML格式对就能过，其实ConvertFrom-AppLockerPolicy会严格检查：RuleCollection顺序（必须按Exe, Dll, Script, Msi, PackagedApp排列）、每条FilePublisherRule的BinaryVersionRange是否合法、FilePathRule中通配符是否符合\?\%OSDRIVE%\等限制。错一处，整个策略拒绝导入。
- 常见错误：
FilePathRule里用了*开头（如*.exe），实际只允许后缀匹配，且路径必须以%OSDRIVE%或%SYSTEMROOT%开头 - 发布者规则中
CertificateHash必须是SHA256，且证书需存在于本地计算机“受信任的发布者”存储区 - 建议先用
Get-AppLockerPolicy -Local -Xml导出当前策略作模板，再增量修改，避免结构错位
策略合并（-Merge）与覆盖（-Reset）行为差异极大
误用参数会导致意外清空规则。Set-AppLockerPolicy -Xml $xml -Merge会在现有策略基础上追加/更新同类型规则集合；而-Reset会彻底清除所有现有规则，仅保留你传入的XML内容。生产环境几乎从不用-Reset。
- 如果只想改某几条
Exe规则，其他集合（如Script）保持不变，必须确保XML中只包含<rulecollection type="Exe"></rulecollection>节点，其余类型节点删干净 - 合并时同名规则（
Name属性相同）会被覆盖，不同名则追加——所以给每条规则设唯一Name很重要 - 策略生效需配合
gpupdate /force，但AppLocker本身有缓存，有时需等1–2分钟或重启explorer.exe才反映新规则
策略生效链路比看起来长得多：C# → PowerShell进程 → LSASS解析 → GPO刷新 → AppLocker引擎重载。任何一环权限、路径、格式或顺序出问题，都会静默失败，日志只在Applications and Services Logs > Microsoft > Windows > AppLocker > EXE and DLL里留痕迹，不报错到C#控制台。
