bugs

限制：
echo y | cacls "%homedrive%%homepath%\「开始」菜单\程序\启动" /e /c /d %username%

解除：
echo y | cacls "%homedrive%%homepath%\「开始」菜单\程序\启动" /e /c /g %username%:f

bugs

regini不够方便，因为默认SYSTEM和administrators有完全控制权限，regini只能针对%username%做只读，所以如果用regini的话效果不好。

建议用第三方工具subinacl来修改。
限制注册表：       
subinacl /subkeyreg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /setowner=guest
subinacl /subkeyreg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /deny=everyone=f

解除注册表：       
subinacl /subkeyreg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /setowner=everyone
subinacl /subkeyreg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /grant=everyone=f

需要注意的是注册表的启动位置并非run一处，其它自行添加。


subinacl也可以用来限制文件和目录，如果用它来限制启动目录的话命令如下：
subinacl /subdirectories "%homedrive%%homepath%\「开始」菜单\程序\启动" /setowner=guest
subinacl /subdirectories "%homedrive%%homepath%\「开始」菜单\程序\启动" /deny=everyone=f

[ 本帖最后由 bugs 于 2010-9-22 01:21 编辑 ]