企业官网建设流程全解析

公用桌面上的数据泄露，往往不是被外部黑客“攻”出来的，而是被人“顺便看”出来的。你随便在办公室或公共区域的共享电脑上看一眼，可能会发现上一个人走的时候，网盘还开着、邮箱还没退出、微信静默挂在后台，甚至连 Excel 里的客户明细都摆在桌面上没有关闭。这种“桌面裸奔”状态，就是公用终端数据保护最大的隐患。这个系列已经写到第 18 篇了，这次我想跟你专门聊聊怎么用“锁定连接”和“屏幕保护”这对基础组合，把公用桌面上的残留数据真正锁死。

很多运维和管理员误以为要在公用电脑上装一堆 DLP 或上网行为软件才安全，实际上最优先要做的往往是系统原生的两道锁：人离开后自动锁屏，以及残留的本地/远程会话自动断开。本文所说的“屠龙刀法”，就是让这两道锁真正落地的方法，涵盖了组策略配置、注册表修改、RDP 空闲断开策略、常见踩坑排查等完整内容，适配 Windows 环境。无论你是在维护公司公共区的打印终端、会议室的临时电脑，还是一台被多个人远程登录的跳板机，这套方案都能直接参考。

1. 为什么公用桌面最怕“会话残留”与“无人锁屏”

1.1 我亲身见过的一幕：公用电脑上的“裸奔账户”

有次我去某单位的公共办公区处理打印机问题，随手点开了一台公共电脑的浏览器，地址栏自动联想直接弹出了上一个人的“财务报销系统”登录记录。更夸张的是，任务栏上还挂着那个人的聊天软件，点开就是对话列表。当时周围人不少，任何一个经过的人都可以直接翻看内容。我当场帮他把那个会话注销掉，但心里很清楚：这只是暂时的，如果系统本身不做自动锁屏、不做会话回收，同样的事明天还会发生。

这种“裸奔”之所以长期存在，是因为公用电脑的使用者潜意识里认为“我走了，别人也不会来看”。但公用桌面恰恰是多人轮换使用的场景，前一个人的登录态就是下一个人眼里的“开放目录”。离职、转岗、临时访客只要使用这台电脑，都可能接触到你残留的文件、聊天记录、网页 Cookie，甚至一些系统内保存的密码。

1.2 两道锁分别解决什么问题

“屏幕保护锁定”解决的是“人离开后桌面无人看守”的问题。当用户停止操作超过设定时间，系统自动启动屏保程序，恢复时需要重新输入密码或 PIN，这个动作会把桌面交给认证层，而不是直接裸露给后来者。

“锁定连接”解决的是“会话残留交叉接管”的问题。这是一个更隐蔽的场景，尤其常见于远程桌面（RDP）环境。一个人远程连上一台公用服务器或工作机器，操作到一半没断开连接，另一个人再连上来的时候，看到的可能不是干净的登录界面，而是直接接入了前一个人的活动会话，等于别人辛辛苦苦打开的界面、缓存的文档、临时输入的账号信息全部暴露在下一个人面前。本机场景也类似：一个人登录 Windows 后没注销，只把显示器关了，另一个用户来到这台电脑前按一下鼠标，就能进入上一个用户留下的桌面。

所以“屏幕保护”是桌面的守门员，“锁定连接”是会话的闸门。两者配合使用，才能覆盖用户在“物理离开”和“远程会话残留”两条路径上的数据泄露风险。单独只做其中一个，往往会在另一个方向上漏风。

1.3 方案选型：为什么优先选组策略和注册表

提到桌面安全设置，很多人第一个想到的是装第三方锁屏工具或安全代理。但第三方工具往往需要常驻进程、兼容性测试和授权成本，在公用终端上还容易因为用户卸载或进程被结束而失效。相比之下，Windows 原生的“屏保密码保护”和“会话超时”机制，直接由系统内核的登录会话管理控制，稳定性和优先级都更高，更值得优先部署。

具体落地路径上，如果机器加入了域环境，建议统一用组策略下发，因为域级组策略可以集中管理、集中审计，而且对本地管理员也有一定的强制约束力。如果只是几台孤立的公用电脑，甚至用的是 Windows 家庭版（没有组策略编辑器），那么就用注册表方式，手动写几个键值，再配合计划任务或部署脚本，也能达到一样的效果。我个人在实际项目里的习惯是：优先组策略，注册表作为补充；当客户端版本太旧或没有组策略时，再退而求其次用注册表。下面的章节，我会把两条路径都完整交代。

2. 屏保锁屏：先给桌面加上“离开后自动上锁”

2.1 用组策略把屏保变成强制锁屏

在域环境或专业版 Windows 上，可以通过本地组策略编辑器（gpedit.msc）强制启用屏幕保护，并开启密码保护。具体路径是：

计算机配置 → 管理模板 → 控制面板 → 个性化

有几个关键策略项需要单独设置，我来逐一解释：

• 启用屏幕保护程序：必须设为“已启用”。如果这里不启用，即使系统托盘里的个性化设置开了屏保，也可能被策略限制掉。
• 屏幕保护程序超时：单位是秒。我建议设置成 600 秒，也就是 10 分钟。太短了会影响正常使用，用户正看资料思考一下就被锁屏，体验很糟；太长了又起不到“离开自动保护”的作用。10 分钟是办公场景里反馈比较平衡的值。如果是打印区或访客机，可以再收紧到 3 到 5 分钟。
• 密码保护屏幕保护程序：必须设为“已启用”。这个策略对应的就是传统控制面板里“在恢复时显示登录屏幕”的选项。只有启用后，用户唤醒屏幕才会要求输入密码或 PIN，否则屏保只是动画演示，对数据保护毫无意义。
• 屏幕保护程序可执行名称：可不设置，也可以指定。不设置时系统会用默认的“照片”或“气泡”屏保。如果网管想统一品牌，可以指定一个 .scr 文件，比如 logon.scr（经典 Windows 徽标屏保）。我一般不推荐用第三方屏保文件，避免出现兼容性问题。

设置完成后，在 cmd 或 PowerShell 里执行gpupdate /force强制刷新策略。然后开着桌面等待一定时间不操作，就能看到屏保自动出现，再次点击桌面或按任意键，系统会回到登录界面而不是直接回到桌面。需要提醒的是，这里有个常见的“策略陷阱”：有些人虽然在组策略里勾了“启用屏幕保护程序”，但忘了启用“密码保护屏幕保护程序”，导致屏保出来了却不用密码，一按键盘直接进桌面，那等于白做。

2.2 家庭版/非域环境：注册表参数逐个讲透

如果公用电脑装的是 Windows 家庭版，没有 gpedit.msc，那就需要直接改注册表。屏保相关的核心项位于HKCU\Control Panel\Desktop下，也就是当前用户桌面配置。手工操作如下：

打开注册表编辑器（regedit），定位到HKEY_CURRENT_USER\Control Panel\Desktop，找到或新建以下字符串值：

可以通过命令行快速写入，比如用 cmd 执行：

reg add "HKCU\Control Panel\Desktop" /v ScreenSaveActive /t REG_SZ /d 1 /f reg add "HKCU\Control Panel\Desktop" /v ScreenSaveTimeOut /t REG_SZ /d 600 /f reg add "HKCU\Control Panel\Desktop" /v ScreenSaverIsSecure /t REG_SZ /d 1 /f reg add "HKCU\Control Panel\Desktop" /v ScreenSaverGracePeriod /t REG_SZ /d 0 /f

执行完这些命令后，建议重启或注销再登录，让策略重新加载。有一点必须说清楚：这些键值对“当前用户”生效，也就是说如果公用电脑上有多个本地账户，你就得给每个账户都配置一遍。为了让新用户也自动带上这些设置，可以在部署阶段把同样的键值写入“默认用户”的注册表离线配置 NTUSER.DAT 中，或者做一个登录脚本，每次用户登录时强制覆盖。很多管理员在这里偷懒只配了当前管理员账户，结果普通用户一登录，屏保设置完全不一样，这就是典型的配置遗漏。

2.3 再补一刀：隐藏屏保设置，防止用户随手关掉

公用电脑上的普通用户往往有权限进入“个性化”或“锁屏界面”设置，把屏保改成“无”。一旦用户改了，策略级设置可能还会被本地用户设置覆盖（取决于组策略优先级），所以最稳妥的做法是直接在组策略中隐藏屏保相关设置项。

在组策略编辑器的同一条路径下，启用“隐藏屏幕保护程序设置”和“隐藏‘个性化’页面”这两个策略。启用后，用户在设置界面看不到屏保相关选项，也无法自行关闭屏保。这个动作本质上是“回收用户对安全策略的修改权”。

如果不用组策略而是注册表方式，可以把上述屏保相关键值写入HKLM\SOFTWARE\Policies\Microsoft\Windows\Control Panel\Desktop（这是策略注册表路径），并且给这个注册表项的权限设置为只允许管理员读写，普通用户无权修改。这样即使他们打开了注册表编辑器，也改不动这些策略值。注意：策略注册表路径与普通用户配置路径不同，系统在读取时会优先采用策略注册表里的值，因此可以达到强制效果。

3. 锁定连接：让残留的本地和远程会话自动“断开”

3.1 本地空闲自动锁屏的另一个机制：机器不活动限制

屏幕保护虽然能用，但它依赖一个“屏保程序”的运行条件。某些显卡驱动、第三方优化软件或电源策略可能让屏保失效。这时候我们可以引入一个更底层、更少被干扰的安全选项：“Interactive logon: Machine inactivity limit”（机器不活动限制）。

这个设置位于“本地组策略编辑器 → 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项”中。默认值是 0，表示不限制。你可以把它设置为 900，代表系统检测到用户闲置 900 秒后自动锁定工作站。它的效果不是启动屏保，而是直接执行锁屏，相当于系统级别的“Win+L”。

我把这个机制看作“屏保之外的第二种兜底”。原因是屏保机制从“启动屏保程序”到“锁屏”是两个动作，中间可能出现屏保程序崩溃或被改名的意外；而机器不活动限制是不依赖屏保程序的独立逻辑，直接走安全策略，更可靠。实际项目里我一般同时开启：屏保负责视觉上的锁屏体验，机器不活动限制负责策略兜底。注意它们的判定逻辑都基于用户输入事件（键盘、鼠标）的静止时间，两者不会互相冲突。

3.2 远程桌面会话的空闲断开与安全防接管

“锁定连接”中更关键的部分，其实是 RDP 远程桌面会话。如果公用桌面是服务器或者被多人远程访问的办公电脑，那么光设置本地锁屏远远不够，还要把“残留的远程会话”主动断开。

在 Windows 组策略中，可以进入：

计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 会话时间和连接

这里有三个策略需要特别关注：

• 设置活动但空闲的远程桌面服务会话的时间限制：建议启用，并把“空闲会话限制”设置为 15 分钟。这样用户远程连接后超过 15 分钟无操作，系统自动锁定该会话。
• 达到会话限制或连接被断开时，设置是否结束会话：有“断开”和“结束”两个选项。绝大多数场景应该选“断开”，而不是“结束”。断开只是让会话进入保留状态，用户重新连接时还能回到原桌面，未保存的工作文档不会丢失；结束则意味着强制注销，正在编辑的文件可能丢数据。
• 限制每个用户只能有一个活动会话：很多人可能不知道 Win 10/11 专业版缺省允许多个会话策略。建议启用这个限制，避免同一个人从两台机器同时连上来，造成会话混乱。

在配置时要注意，“空闲会话限制”的值不能设得太低。比如设置成 1 分钟，用户接个电话回来发现连不上，体验极差。15 分钟是一个比较平衡的数值，既不会让空会话长时间暴露，也不会频繁打断正常操作。如果这个机器只用于重度操作，10 分钟也可接受，但不建议低于 5 分钟。

3.3 手动锁屏快捷键与计划任务自动锁屏的取舍

除了系统级自动锁屏，我还经常给共用终端使用者培训一个习惯：离开座位就按 Win+L。这个手动锁屏是不可替代的，因为自动锁屏无论如何都有等待时间，而手动锁屏是“立即生效”。如果使用者自己没这个意识，那让等待时间是 10 分钟还是 15 分钟，区别只是泄露窗口的大小，无法完全消除风险。

针对不想依赖使用者习惯的团队，也可以借助“任务计划程序”实现定时锁屏，但我本人的实际测试结论是：任务计划程序里的“空闲条件”并不像宣传中那么可靠。它需要系统在空闲一段时间后才触发任务，而空闲判定受后台进程影响很大，可能出现“任务迟迟不触发”或“正看视频被锁”的情况。相比之下，组策略的“机器不活动限制”和系统屏保逻辑更准确，所以我认为计划任务方案只适合作为一个补充，不应该作为唯一防线。如果团队里有极少数顽固用户经常离机不锁，我甚至建议直接再配合“不发警告强制锁屏”的屏保超时，从规矩上倒逼习惯养成。

远程桌面连接到共享平台时，还有一项隐藏的安全设置常常被忽略：“安全选项 → 交互式登录: 不需要按 Ctrl+Alt+Del”，这个策略在 Windows Server 和部分企业版中用于控制登录时的安全注意序列。对于公用桌面，建议把它设为“已禁用”，也就是强制要求用户登录时按 Ctrl+Alt+Del，这样可以防止一些伪造的登录木马，也能确保每次会话从干净的登录界面开始。同路径下还有一个“交互式登录: 不显示上次的用户名”，建议启用，避免登录界面把上一个用户名显示出来。这两项虽然和锁定屏幕不是同一件事，但在“连接/认证”这个链路里缺一不可。

4. 完整落地方案：从策略到注册表命令一步不落

4.1 部署前想清楚的三件事

在动手配置之前，有三件事必须先确认：

第一，这台机器的使用场景和容忍度。打印区、前台、会议室的电脑，使用频率高、人员杂，锁屏等待时间要短；研发人员或设计岗位的远程跳板机，等待时间可以稍长。建议按“人员风险等级”而不是“统一时长”来设计。如果无法为不同机器分配不同策略，那至少统一使用 10 分钟这个中间值。

第二，机器的 Windows 版本。专业版、企业版和服务器版可以走组策略；家庭版没有 gpedit，只能走注册表。版本判断很简单：Win+R 输入winver查看系统信息即可。不要拿到一台家庭版机器硬着头皮找组策略，浪费时间。

第三，部署范围。如果有多台机器，建议先在测试机上完成配置并验证，再通过 AD 组策略或部署脚本批量下发。直接在生产环境公用的终端上试错，会影响正常办公，还会收集到一堆“误锁屏”的投诉。

4.2 十步完成“锁定连接+屏保”全部设置

我把一个典型公用桌面终端需要做的基础安全设置整理成以下步骤，按顺序操作即可。这里以 Windows 10/11 专业版为例，假设机器的管理员权限可用。

步骤 1：启用屏保强制策略

Win+R 输入gpedit.msc，进入计算机配置 → 管理模板 → 控制面板 → 个性化。依次启用“启用屏幕保护程序”、“密码保护屏幕保护程序”，将“屏幕保护程序超时”设置为 600；“隐藏屏幕保护程序设置”设为已启用，避免用户自行关闭。

步骤 2：设置不活动自动锁定

进入计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项，找到“Interactive logon: Machine inactivity limit”，设置为 900 秒。这个值表示即使屏保被某些原因绕过，也会在 15 分钟内自动锁定工作站。

步骤 3：开启 Ctrl+Alt+Del 强制登录

在同一“安全选项”下，将“交互式登录: 不需要按 Ctrl+Alt+Del”设置为“已禁用”，将“交互式登录: 不显示上次的用户名”设置为“已启用”。

步骤 4：配置远程桌面空闲断开

进入计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 会话时间和连接。启用“设置活动但空闲的远程桌面服务会话的时间限制”，设置为 15 分钟；将“达到时间限制时终止会话”选择为“断开”，不要选“结束会话”。另建议启用“限制每个用户只能有一个活动会话”。

步骤 5：关闭自动登录

如果公用电脑之前配置过自动登录，必须在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon中把AutoAdminLogon的值改为 0，并删除或清空DefaultUserName、DefaultPassword。否则就算设置了锁屏策略，开机也可能直接进入某个用户桌面，前面的保护功亏一篑。

步骤 6：刷新组策略

在管理员命令行中执行：

gpupdate /force

此时可以在“结果策略集”中查看已生效的设置项。执行完建议重启一次，确保所有组件重新加载。

步骤 7：对家庭版机器追加注册表配置

针对没有组策略的主机和所有本地账户，执行如下命令：

reg add "HKCU\Control Panel\Desktop" /v ScreenSaveActive /t REG_SZ /d 1 /f reg add "HKCU\Control Panel\Desktop" /v ScreenSaveTimeOut /t REG_SZ /d 600 /f reg add "HKCU\Control Panel\Desktop" /v ScreenSaverIsSecure /t REG_SZ /d 1 /f reg add "HKCU\Control Panel\Desktop" /v ScreenSaverGracePeriod /t REG_SZ /d 0 /f

同时建议把同样的四个键值写入HKLM\SOFTWARE\Policies\Microsoft\Windows\Control Panel\Desktop，让策略层覆盖用户层，防止普通用户通过控制面板把屏保改回“无”。

步骤 8：统一所有本地用户配置

这里的技巧比较偏门：创建一个新临时账户，或者用管理员登录后，把HKEY_USERS\.DEFAULT\Control Panel\Desktop下的键值也同步修改。这样以后在该设备上新建的用户会继承默认配置。如果是多用户场景，也可以用登录脚本的方式来主动写入，但脚本只适合有一定运维能力的团队，不建议小白硬上。

步骤 9：验证远程会话策略

在另一台电脑上用远程桌面连上这台公用终端，保持空闲 15 分钟，观察它是否自动断开或锁定。断开后可以立即重新连接，确认回到原会话而非新桌面。这个验证过程很重要，因为 RDP 策略有时会被客户端本地配置覆盖，一定要实际操作一遍。

步骤 10：建立巡检清单

最后，把这些配置项整理成一张清单，记录每台机器的部署时间、版本、设置参数。公用桌面不是一次配置完就一劳永逸，系统更新、用户自行改动或新装软件都可能影响策略。每周花几分钟抽查一两台机器的策略生效状态，效果远好于出了问题再补救。

4.3 验证设置是否真正生效

配置完成后，除了肉眼等待屏保出现，还可以用命令确认关键项。比如在命令行执行gpresult /r，可以查看哪些组策略对象已应用。执行reg query "HKCU\Control Panel\Desktop" /v ScreenSaveActive，可以看到注册表值是否被正确写入。如果使用域策略，还可以通过rsop.msc查看最终策略结果，排查是否有冲突策略覆盖了我们的设置。

另外，测试锁屏时有人会踩一个坑：手动按 Win+L 锁屏后，再等待屏保触发的时间，不是因为配置失败，而是因为已经处于锁定状态，屏保不再重复触发。正确测试方法应该是“正常登录桌面后，不按任何键等待指定时间”，看屏保是否出现并锁屏。我遇到过几次运维人员说自己“明明设置了屏保却不出现”，最后发现是测试流程有问题。

5. 实测踩坑记录：常见问题与排查方法

5.1 屏保就是不动？问题不一定在屏保

屏保不启动，是公用终端安全配置里最常见的投诉。从我的排查经验看，绝大多数原因不是策略没生效，而是“电源计划”里的“将计算机转入睡眠状态”把系统挂起了。如果系统在屏保等待时间之前先进入了睡眠，那屏保根本没有机会启动。解决方法是把电源计划中的“在此时间后睡眠”设置为“从不”，或把“在此时间后关闭显示器”设置为大于屏保等待时间。

另一个容易被忽略的原因是显卡驱动或远程桌面会话下的 3D 屏保兼容性。某些 3D 屏保在 VMware、远程桌面环境下渲染不了，导致黑屏或直接跳过屏保进程。遇到这种情况，我建议把屏保换成系统自带的“空白”或“照片”，也就是写一个传统 .scr 文件，避免硬件加速问题。同时检查“屏幕保护程序可执行名称”是否指向了无效文件，在组策略中如果设置了不存在的 scr 路径，屏保也会启动失败。

还有一点需要提醒：如果公用电脑上装有“离开模式”类软件或网管软件，它们可能模拟输入事件，导致系统认为从未空闲。这种情况下即使等待时间到了，屏保也不会出现。排查时可以临时关闭这些软件做对照测试。

5.2 锁屏后没有密码提示或被跳过

设置屏保后，恢复桌面时如果没有出现“登录界面”，说明ScreenSaverIsSecure或“密码保护屏幕保护程序”没有真正生效。在 Windows 设置界面中，很多人只选择了屏保程序，但忘了勾选“在恢复时显示登录屏幕”，这个勾选项是和屏保程序分开的。请重点检查：是组策略里的密码保护屏保策略已启用，还是用户配置里的 ScreenSaverIsSecure=1。

如果你用的是 Microsoft 账户登录，恢复时要求输入的可能是 PIN 而不是密码，这属于正常的系统行为。但如果锁屏界面一闪而过，直接回到桌面，那大概率是注册表被其他软件覆盖，或者策略注册表路径HKLM\SOFTWARE\Policies\Microsoft\Windows\Control Panel\Desktop中的ScreenSaverIsSecure值变成了 0。我见过有第三方电脑管家软件，为了“免密恢复桌面”，悄悄把这个值改成 0。处理办法是重新写入键值，并禁止相关软件开机自启，再验证是否恢复。

5.3 远程桌面空闲断开不生效的排查

RDP 空闲断开策略配置了却没有生效，通常有几种原因。首先是作用域不对：组策略中“远程桌面会话主机”的设置只对“远程桌面服务”的会话生效，如果用户是通过控制台或物理键盘登录的本地会话，该策略并不会影响。其次是策略没有刷新：修改完组策略后没有执行gpupdate /force，或域策略覆盖了本地策略，导致本地配置没生效。建议先在测试机上用rsop.msc查看实际生效的策略值。

还有一个细节：在“会话时间和连接”策略中，我们往往只设置了“空闲会话限制”，却忘了设置“达到限制时间时采取的操作”为“断开”。如果该策略项处于“未配置”状态，系统可能默认保持连接，这样当然不会断开。此外，如果用户端开启了后台下载任务（比如浏览器在持续下载），系统会认为该会话有活动，空闲计时器不会归零。这属于正常行为，不是策略失效。如果希望即使有后台网络活动也强制断开，需要更底层的网络会话控制，单靠 RDP 策略不够。

5.4 用户改回设置：权限与策略冲突处理

公用电脑上的普通用户完全可以打开“设置 → 个性化 → 锁屏界面”，把“屏幕保护程序”选为“无”。如果策略层没有做强制覆盖，用户的一键修改就会让你的安全设计失效。所以我在前面强调要启用“隐藏屏幕保护程序设置”和“隐藏‘个性化’页面”策略，并且把策略注册表权限锁死。

如果发现策略被用户覆盖，第一步先看组策略对象的优先级。本地组策略优先级最低，如果机器在域中，域级组策略可能会覆盖本地策略，而本地的“强制”策略可能不足以覆盖用户自定义设置。这时需要用安全筛选或 WMI 筛选确认该机器确实继承了正确的域策略。若完全没有域，只能通过注册表 ACL 权限来保护键值。操作方法是：右键HKLM\SOFTWARE\Policies\Microsoft\Windows\Control Panel\Desktop→ 权限 → 将“Users”读取权限改为“只允许读取”，禁止写入。这样即使普通用户进入注册表编辑器，也无法修改键值。

6. 长期维护公用桌面的三个小习惯

说到最后，我还想分享几个在实际维护中沉淀下来的经验。第一，不要把“策略已配置”当成“安全已生效”，一定要抽时间做真机测试。我见过太多团队用脚本推了一堆组策略设置，机器上看起来全都启用，但实际 RDP 空闲超时从未生效，直到出了数据泄露才倒查出来。每季度抽查一两台机器，比出了事情再做审计重要得多。

第二，锁屏策略的等待时间不能一拍脑袋定死。有一次我遇到一个客户，把屏保超时设为 2 分钟，结果客户经理每次汇报都要带着电脑到会议室投屏演示，每隔两分钟就锁一次，体验很差。最后我们按角色拆分：演示区电脑延长到 30 分钟不锁，办公区保持 10 分钟，远程运维区用 5 分钟。安全策略要适配业务，才有可持续性。

第三，千万别忘了配套启用“关闭显示器”的策略而不是单纯依赖屏保。很多人的直觉是屏保出现就表示工作站在保护状态，但实际上如果屏幕进入屏保前就被显示器电源管理关掉了，那只是显示器没了画面，桌面进程仍然活跃。只有在进入锁定状态之后，系统登录会话才真正断开输入界面，这才是数据保护的完成态。所以安排电源计划时，要保证“关闭显示器”的时间大于等于屏保等待时间，并且开启锁屏恢复密码认证。

公用桌面数据保护确实不是什么高深黑客技术，它靠的就是系统里最基础的“屏幕保护”和“会话锁定”机制。但基础不等于简单，关键在于你有没把这些机制放进统一策略、有没有处理掉那些隐蔽的系统干扰项、有没有在日常巡检中确认它们始终在线。把这套东西吃透，再面对满屋子公用电脑时，至少心里有底。