如何彻底阻止非管理员启动IE且不破坏Edge的IE模式？

以下是覆盖所有已知启动路径的无损害解决方案：

1. 用AppLocker限制iexplore.exe的执行（核心措施） #

通过AppLocker创建规则，仅允许Edge进程调用iexplore.exe，拒绝普通用户直接或通过其他非授权进程启动：

• 打开本地组策略编辑器（gpedit.msc），导航到计算机配置→Windows设置→安全设置→应用程序控制策略→AppLocker
• 在「可执行规则」下创建新规则：
  • 规则类型选择「拒绝」，目标用户为所有普通用户组（如Users）
  • 条件选择「路径」，指定路径为%PROGRAMFILES%\Internet Explorer\iexplore.exe和%PROGRAMFILES(x86)%\Internet Explorer\iexplore.exe
  • 添加例外：点击「例外」选项卡，选择「进程名称」，添加msedge.exe，允许该进程启动iexplore.exe
• 启用AppLocker的可执行规则强制（右键AppLocker→属性，勾选「强制规则」）

此规则会阻止直接双击iexplore.exe、VBS脚本通过WScript/Cscript调用IE、控制面板链接启动IE，但完全不影响Edge的IE模式。

2. 禁用IE COM对象的普通用户访问权限（阻断VBS脚本调用） #

针对InternetExplorer.Application这个COM对象，修改注册表权限，让普通用户无法实例化它：

1. 打开注册表编辑器（regedit.exe），导航到以下两个路径：
   • HKEY_CLASSES_ROOT\CLSID\{0002DF01-0000-0000-C000-000000000046}
   • HKEY_CLASSES_ROOT\InternetExplorer.Application
2. 右键每个路径→「权限」，选择普通用户组（如Users），将权限设置为仅读取，移除「写入」「完全控制」等高级权限
3. 确认设置后，VBS脚本尝试创建InternetExplorer.Application对象时会报错，无法启动IE

3. 修复控制面板链接的默认打开程序 #

将控制面板中「了解更多工具栏」链接的打开程序强制改为Edge：

• 打开注册表编辑器，导航到HKEY_CLASSES_ROOT\IE.AssocFile.HTM\shell\open\command
• 将默认值修改为Edge的启动路径：

  "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" "%1"
  

• 同理检查HKEY_CLASSES_ROOT\IE.AssocFile.HTML\shell\open\command等相关关联项，确保所有网页文件类型都默认用Edge打开

验证所有场景 #

完成设置后，测试以下场景确认效果：

• 运行提供的VBS脚本：应弹出"无法创建对象"类错误，无法启动IE
• 执行控制面板打开IE的步骤：链接会用Edge打开，而非IE
• 普通用户直接双击iexplore.exe：会被系统阻止，提示无权限
• 测试Edge IE模式：正常打开兼容站点，无影响

内容的提问来源于stack exchange，提问作者Merlin The Wizard