如何解决GPO配置NAS存储的登录脚本无法执行问题

该故障和NAS访问权限、脚本本身语法无关，核心是Windows默认运行机制的两个限制：

1. GPO配置的用户登录脚本执行时机早于网络驱动器挂载、用户网络凭据加载的时间点，脚本触发时系统尚未完成到NAS共享的连接初始化，直接访问UNC路径会返回找不到网络路径的错误。你手动双击脚本能正常运行，是因为操作时系统已经完成网络初始化、凭据加载，和登录脚本执行时的系统状态完全不同。
2. Windows默认开启的UNC安全检查机制，会阻止登录流程阶段直接从网络共享位置执行脚本，避免恶意脚本通过网络路径注入登录环节。

• 方案1：本地中转脚本调用（最稳定，同时适配后续无AD环境的部署需求）
  不要直接在GPO登录项中填写NAS上的脚本路径，先在所有客户端的本地固定路径（比如C:\ProgramData\launcher.bat）存放一个中转脚本，内容如下：

  @echo off
  :: 等待5秒等网络初始化完成
  timeout /t 5 /nobreak >nul
  :: 手动建立到NAS共享的IPC连接，不依赖系统自动挂载的网络驱动器
  net use \\NAS-UNC\Folder /user:你的统一访问账号 对应密码 /persistent:no
  :: 调用NAS上的目标脚本
  call \\NAS-UNC\Folder\script.bat
  

  将GPO登录项的脚本路径修改为本地这个中转脚本的路径即可。后续无AD环境部署时，不需要依赖域GPO，直接把这个中转脚本加到本地组策略的登录项，或者放到用户启动文件夹（运行shell:startup可直接打开）就能实现相同的自动执行效果。
• 方案2：调整GPO执行等待策略（仅域AD环境可用）
  打开对应GPO的编辑器，依次找到计算机配置 -> 管理模板 -> 系统 -> 脚本 -> 登录脚本等待用户网络初始化，将该策略设置为已启用，等待超时时间设置为10秒，强制系统等网络连接就绪后再执行登录脚本；同时找到用户配置 -> 管理模板 -> Windows组件 -> 文件资源管理器 -> 登录时不自动还原以前的网络连接，设置为已禁用，确保脚本执行前网络共享可正常访问。
• 方案3：关闭UNC路径脚本拦截（不推荐，存在安全风险）
  在客户端注册表路径HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System下新建DWORD类型值，名称为EnableLinkedConnections，数值设为1，重启设备后系统会允许登录阶段直接访问网络路径下的脚本。该配置会降低系统安全防护等级，仅建议测试环境临时使用。

注意：测试脚本里的mkdir test是相对路径，执行时会在调用进程的当前工作目录创建文件夹，如果需要在NAS脚本目录创建，把脚本里的路径改成绝对路径即可。

内容的提问来源于stack exchange，提问作者ItsJustHaga