可通过组策略结合注册表权限限制锁定TEMP/TMP路径：在用户配置中新建环境变量并勾选“删除该变量”，再通过安全设置拒绝用户对HKEY_CURRENT_USER\Environment的写入权限。
可以通过组策略（gpo）禁止用户修改临时文件夹（%temp% 和 %tmp%）的路径，但需注意：windows 本身没有直接“锁定临时文件夹路径”的原生策略设置。实际操作中，需结合注册表控制、环境变量继承机制和用户权限限制来实现效果。
理解临时文件夹路径的来源
用户临时文件夹路径（如 C:\Users\用户名\AppData\Local\Temp）默认由系统根据以下方式生成：
- 登录时，系统读取注册表项
HKEY_CURRENT_USER\Environment\TEMP和TMP；若为空或不存在，则自动派生自用户配置文件路径； - 若管理员在 GPO 中通过“设置环境变量”策略预设了
TEMP/TMP，且启用“删除该变量”选项，可防止用户覆盖； - 用户无法通过常规图形界面（如系统属性→高级→环境变量）修改“用户变量”中的
TEMP/TMP，除非拥有写入其注册表 hive 的权限。
使用GPO强制指定并锁定TEMP/TMP变量
推荐做法是通过“计算机配置”或“用户配置”中的环境变量策略统一设定，并阻止用户修改：
- 定位到：用户配置 → 策略 → Windows 设置 → 脚本（登录/注销）→ 环境变量；
- 右键“环境变量”，选择“新建环境变量”；
- 变量名填
TEMP，值填%USERPROFILE%\AppData\Local\Temp（或自定义合规路径，如D:\Temp\%USERNAME%）； - 勾选“应用此设置后删除该变量”**（关键！）**——这会阻止用户后续通过控制面板或命令行修改该变量；
- 同理为
TMP创建相同设置； - 确保策略链接到对应OU，并启用“已启用”和“应用到所有子容器”。
补充加固：限制注册表写入权限
仅靠环境变量策略不能完全杜绝高级用户通过注册表编辑器篡改，需配合权限控制：
- 通过GPO部署注册表权限限制（计算机配置 → 策略 → Windows 设置 → 安全设置 → 注册表）；
- 添加注册表项：
HKEY_CURRENT_USER\Environment； - 设置权限：拒绝普通用户对该键的“写入”和“删除子项”权限（保留“读取”）；
- 注意：此操作会影响其他环境变量配置，建议先测试，避免影响业务软件。
验证与注意事项
策略生效后，可通过以下方式确认：
- 用户登录后运行
echo %TEMP%和echo %TMP%，检查是否为预期路径； - 尝试在“系统属性→环境变量”中修改 TEMP，应提示“无权限”或修改不生效；
- 检查注册表
HKEY_CURRENT_USER\Environment下 TEMP/TMP 值是否只读、且无用户写入权限； - 注意：部分程序（如以管理员身份运行的安装包）可能绕过用户级环境变量，应统一规范部署权限模型。
不复杂但容易忽略的是策略作用域和刷新时机——确保用户重启或执行 gpupdate /force 后重新登录，且GPO未被更高级别的策略（如站点级或域级）覆盖。
