企业官网建设流程全解析

前阵子有个朋友跑来找我，说Chrome的“关于”页面翻了个底朝天，设置里也找遍了，不管是“自动更新”还是“后台运行”，能关的基本都关了，结果第二天一开机，浏览器还是偷偷换了新版。这个问题其实特别典型，而且不只是Chrome，新版Edge几乎是一模一样的套路。很多人以为在浏览器设置里关掉更新开关就万事大吉，实际上那个开关早在很多版本里就变成了摆设，真正干活的是藏在系统里的更新服务、计划任务和后台进程。这篇文章就是把“真正禁用Chrome、Edge更新”这件事从头到尾拆干净，搞清楚更新是怎么跑起来的，然后用可复现的步骤把它按住。适合被强制更新烦到的个人用户，也适合给公司里一堆电脑做统一管控的运维朋友参考。

1. 更新是怎么悄悄跑起来的

1.1 更新进程根本不在浏览器主程序里

先说一个大家最容易误解的地方：Chrome和Edge的自动更新，不是浏览器自己完成的。你在浏览器里看到的“关于”页面，只是触发检查而已，真正负责下载、解压、替换文件的，是一套独立的更新组件。

对Chrome来说，这套组件叫Google Update，核心程序是GoogleUpdate.exe，平时以计划任务和服务的形式挂在系统里。Edge的情况几乎一样，只是名字变成了Microsoft Edge Update，对应的程序是EdgeUpdate.exe。说白了，你关掉浏览器里的更新开关，只是让浏览器不再主动发起检查，但后台的更新组件依然会在系统层面被定时触发，该联网还联网，该下载还下载。

很多禁用教程只让你删掉一个计划任务，结果过几天发现更新又回来了，原因就在这：更新组件不只是一个任务，它是“计划任务 + Windows服务 + 注册表自启 + 策略通道”的组合体，而且几个组件还能互相拉起来，只处理其中一个，剩下的照样能把你更新了。

1.2 更新组件藏在这几个位置

我把常见的位置和名字整理成了下面这张表，后面操作的时候你会反复对上号：

表格里任务名后缀带“Core”和“UA”的，一个管初始化和安装，一个管用户态调度。名字里有“UserS-”一大串随机字符的，是当前用户登录级别下的更新任务。很多人禁用更新失败，就是因为只处理了Machine的任务，漏了User的任务，一登录桌面，用户任务照样把更新拖回来。

1.3 为什么设置里没有“停止更新”的选项

Chrome早期版本确实允许你通过策略或者稍隐藏的开关关掉自动更新，后来官方把这事收紧了。浏览器设置里顶多给你一个“自动更新”的勾选项，而且很多版本里这个勾选只是提示性的，并没有真正中断更新链路。Edge就更直接，个人用户几乎找不到一个“不要更新”的开关。

另外要提一个容易踩到的点：如果你用管理员账户操作，会发现删掉任务、停掉服务之后，过几天它们又出现了。这不是你操作失误，而是更新组件的“自恢复”机制在起作用，或者你在系统更新、软件安装时无意间又触发了重新创建。所以，真正有效的禁用方案，一定不是“关一次”，而是让更新程序根本没有权限把自己拉起来。后面章节我会把这一步讲透。

2. 先把自动更新的“供电线”断掉

2.1 停掉计划任务：要动手前先看仔细

在做任何权限锁死之前，建议先按照“先断电、再锁门”的顺序来，先把更新任务的触发渠道关掉，避免后面操作过程中更新程序正好在跑。

打开任务计划程序的方式是Win + R，输入taskschd.msc，回车。进入后先看“任务计划程序库”，最好把“Microsoft”、“Google”、“Edge”、“Update”等关键词的任务都找出来。常用的入口在“任务计划程序库”下的“Microsoft”子文件夹里，但不同系统环境下位置可能有差异，最快的方式是点左侧根节点，然后按任务名称排序，凡是名字里带GoogleUpdate或EdgeUpdate的，全部选中。

然后不要直接点“删除”，先点“禁用”。这里解释一下原因：删除任务有时候会被更新组件重新注册回来，而禁用任务不会被立刻重新启用，留一个残联状态反而可以帮你确认它是否还会被拉起。如果禁用的任务隔几天又变成“就绪”，说明有更上层的东西在重新注册它，这时候再配合后面的权限方案处理。

操作清单如下：

• 找到所有名字带GoogleUpdate、EdgeUpdate的任务
• 逐个右键，选“禁用”
• 禁用后双击任务，切到“条件”页签，取消“唤醒计算机以运行此任务”
• 切到“设置”页签，取消“允许按需启动任务”

最后这一步特别容易被忽略，很多任务即使被禁用了，只要还勾着“允许按需启动”，更新进程一旦被系统组件调用，任务依然能运行。把“允许按需启动”也勾掉，等于又加了一道锁。

2.2 停掉后台更新服务

任务计划程序之外，Windows服务里也挂着更新组件。Win + R输入services.msc打开服务管理器，找下面几个名字：

• Google更新服务（gupdate、gupdatem）
• Microsoft Edge 更新服务（MicrosoftEdgeUpdate、MicrosoftEdgeUpdateMachineCore）

对这些服务，双击打开，启动类型改成“禁用”，然后点“停止”。这里不要只改启动类型，要真真切切把服务停掉，因为有些服务在运行状态下，你改完“禁用”，它还会一直留在内存里，等重启才失效。

有个细节要注意：有些机器上服务名称后面带数字或者括号，比如“MicrosoftEdgeUpdate (机器)”。以你在服务列表里看到的为准，不要照着网上截图硬套。服务数量可能不止两个，凡是描述信息和更新相关的，全部处理掉。

2.3 顺手把更新程序改名

上面两步做完，系统层面的触发渠道基本就断了。但还差一道保险，我把这一步叫“物理断电”——把更新程序本身切掉。

进入以下两个目录：

• C:\Program Files (x86)\Google\Update
• C:\Program Files (x86)\Microsoft\EdgeUpdate

找到GoogleUpdate.exe和EdgeUpdate.exe，把它们改成.bak后缀，或者直接挪到别的备份目录。注意改名的时候先把相关任务和服务全部停掉，否则程序可能正在运行，你连重命名的权限都没有。改名之后，就算哪天有任务被重新拉起，系统也会因为找不到可执行文件而报错退出，无法完成实际更新。

不过说实话，改名法在个人电脑上够用，但在某些场景下还是会翻车。比如系统组件更新时，会自动把对应文件重新释放一遍，改名后的文件被覆盖，恢复原状。所以下面这一节要讲的“权限锁死”，才是真正一步到位的关键。

3. 权限锁死：让更新程序彻底跑不起来

3.1 为什么这一步比删除任务更稳

前面几步做完，多数情况下浏览器不会再自动更新了。但我个人在实际操作中遇到过不少返工，最常见的场景是：重装浏览器、系统大版本更新、或者某些第三方软件捆绑调用更新组件后，任务和服务又回来了。原因很简单——你只是“关”了它们，但没有剥夺它们运行的条件。

真正的“禁用”，应该让更新程序即使被调用，也无法启动。实现方式就是权限控制：把更新目录的访问权限锁死，让更新程序没有权限读取和执行。对于普通用户来说，这就像一把锁，把门直接锁上，钥匙还在你手里。

我自己在几十台电脑上实测下来，任务计划程序和服务可以被各种方式重新创建，但目录权限这一道墙，一旦设置好，几乎没有被冲破的可能。你可以理解为，更新任务只是负责“敲门”，而权限就是“门锁”。

3.2 手动设置权限的步骤

以Chrome的Google Update目录为例，操作步骤如下，Edge的目录同理：

1. 右键C:\Program Files (x86)\Google\Update目录，选“属性”
2. 切到“安全”页签，点“高级”
3. 把“禁止继承”点掉，然后选择“将已继承的权限转换为此对象的显式权限”
4. 删除所有非System的账户条目，保留System和本机Administrators
5. 在System和Administrators上设置“拒绝”完全控制或者读取和执行，或者直接把这两个账户也删掉

我推荐的做法是：只保留SYSTEM账户的“读取并执行”权限，其他账户全部删除，并额外添加一条“拒绝Everyone完全控制”。如果你觉得这样太麻烦，也可以用命令一键搞定。

3.3 用命令批量锁死目录

喜欢命令行的朋友可以直接在管理员权限的终端里操作，命令如下：

:: Chrome更新组件目录 takeown /f "C:\Program Files (x86)\Google\Update" /r /d y icacls "C:\Program Files (x86)\Google\Update" /deny "Everyone":(OI)(CI)DE,DC,W,X :: Edge更新组件目录 takeown /f "C:\Program Files (x86)\Microsoft\EdgeUpdate" /r /d y icacls "C:\Program Files (x86)\Microsoft\EdgeUpdate" /deny "Everyone":(OI)(CI)DE,DC,W,X

这段命令的逻辑是先把目录所有者改成当前管理员，然后拒绝所有人（包括管理员自己）删除、写入、执行。也就是说，不仅更新程序没法运行，连创建新文件、修改文件这些操作都会被系统直接拒绝。

权限修改成功后，你可以打开任务计划程序，随便手动运行一次更新任务，正常情况下会看到任务报“操作失败”或者“拒绝访问”，这就说明锁死了。如果任务显示运行成功，那说明还有别的入口，继续往下看。

3.4 注册表策略兜底，让界面同步“变灰”

权限锁死管住了更新程序的物理执行，但浏览器自身的设置界面里，可能还会显示“有可用更新”“正在下载”之类的状态，看着闹心。这时候可以用注册表策略，让浏览器主动进入“不更新”的托管状态。

按Win + R输入regedit，打开注册表编辑器，分别定位到下面两个路径：

Chrome：

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Update

Edge：

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\EdgeUpdate

如果路径不存在，手动新建“Policies”下的对应项即可。在这两个项里面分别创建两个DWORD值：

• UpdateDefault = 0，表示关闭自动更新
• AutoUpdateCheckPeriodMinutes = 0，表示检查周期设为0，也就是不检查

这两个值写入后，打开浏览器的“关于”页面，更新按钮会变灰或者直接提示“此设备由你的组织管理”，浏览器就不会再主动提示更新。需要说明的是，这一步本身不是“彻底禁用”，它只是让浏览器认为更新策略被外部接管，配合前面的权限锁死，效果才会真正稳定。

4. 进阶玩法：给多台电脑统一部署策略

4.1 平时用：把更新配置做成注册表一键脚本

如果你只给自己一台电脑做，手动操作就够了。但如果你要给一批电脑统一“掐”更新，一台台去点任务计划和服务，效率太低。建议把更新策略打包成注册表和命令脚本。

新建一个文本文件，改成reg后缀，内容可以写成这样：

Windows Registry Editor Version 5.00 ; Chrome 更新策略 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Update] "UpdateDefault"=dword:00000000 "AutoUpdateCheckPeriodMinutes"=dword:00000000 ; Edge 更新策略 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\EdgeUpdate] "UpdateDefault"=dword:00000000 "AutoUpdateCheckPeriodMinutes"=dword:00000000

双击导入即可。不过提醒一句，注册表策略只能让浏览器“主观”不更新，如果电脑上已经存在一些恶意驱动或者高强度自恢复的更新组件，策略并不能阻止它们在系统层执行。所以要完整禁用，还是要把上一章的权限命令一起跑，两条腿走路才稳。

4.2 批量部署：用组策略或者脚本

在企业域环境里，最推荐的方式是把权限命令和注册表策略导入到组策略开机脚本或者登录脚本里。大致流程是：

• 通过域组策略，在计算机启动脚本中加入上面的icacls命令
• 在用户登录脚本中，导入上面那个reg文件

脚本运行起来后，新加域的电脑开机就会自动把更新目录锁一遍，浏览器更新策略也会被统一写入。这样既不会误伤浏览器正常功能，又方便以后通过组策略一键放开权限做更新维护。

有一点要特别注意：权限锁死之后，Chrome和Edge的浏览器主程序本身不会受影响，因为它们的主程序目录和更新组件目录是分开的。你锁的是Update目录，不是浏览器安装目录，平时上网、插件、账号同步这些都不受影响。

5. 实测踩坑：常见问题与排查

5.1 禁用之后版本还自己变了

如果你已经把任务、服务、目录权限全做了，但浏览器版本号还在悄悄升级，先别怀疑操作步骤，从下面几个方向排查：

• 浏览器是不是从系统应用商店安装的版本？商店版本走的是系统更新通道，不是Google Update或EdgeUpdate，禁用的方向都不对
• 电脑上是不是装了其他软件，顺手把更新组件也重新恢复了？有些系统清理工具、驱动安装工具会顺带触发更新
• 有没有设置了“Windows更新里更新其他Microsoft产品”？Edge部分版本会和系统更新绑定，需要把系统的“更新其他Microsoft产品”选项也关掉

前两个方向很多人容易漏。特别是从应用商店渠道安装的Edge，它不依赖传统的EdgeUpdate机制，而是跟着系统组件更新走，这种情况即便你锁死EdgeUpdate目录，也拦不住系统商店通道。

5.2 任务计划被重新创建了

任务计划隔几天回来，是最常见的问题。我遇到过一次，是某次给电脑安装系统更新后，目录权限被重置了，连带着任务也回来了。原因在于，部分版本的更新程序在启动前会“预检”权限，如果它的目录不可访问，它会通过调用系统组件尝试重置安全描述符。

这种情况要检查两件事：

• 更新组件目录的权限是否被重置？打开安全页签，看“Everyone”的拒绝权限还在不在
• 服务里是否有隐藏的“更新助手”？有些版本会在系统更新时新增一个临时服务，等下次重启又消失

如果确认权限被重置，重新执行一遍icacls命令即可。不需要把任务计划和服务反复改成禁用，因为只要目录权限没守住，任务和服务怎么改都会复活。

5.3 设置里显示错误或按钮灰色

禁用更新后，打开浏览器“关于”页面，看到“更新失败”“此设备由组织管理”这些提示，都属于正常现象，不用慌。这说明更新策略生效了，浏览器知道当前设备不允许更新。如果你看到“有可用更新”和下载进度，那说明前面的权限设置没有生效，得回去检查目录权限。

5.4 以后想更新怎么办

禁用不是自断后路，把更新重新打开也很简单：

• 把注册表里的UpdateDefault和AutoUpdateCheckPeriodMinutes删除，或者改为1
• 把目录权限里的“拒绝Everyone”删除，或者用icacls命令恢复：

icacls "C:\Program Files (x86)\Google\Update" /remove:d Everyone icacls "C:\Program Files (x86)\Microsoft\EdgeUpdate" /remove:d Everyone

然后重新启用对应的任务计划和服务，或者干脆等浏览器下次自动重新拉取更新组件即可。我个人通常不恢复任务计划，直接进“关于”页面点检查更新，它往往会自己把需要的东西补回来。

5.5 一个问题速查表

6. 一点个人的经验

我帮别人处理过很多次“关不掉的自动更新”问题，最后发现最容易出问题的不是操作步骤，而是漏了一个字：权限。删任务、停服务都只是临时办法，系统随时能找到理由把它们重新建回来，但权限一旦锁死，更新元程序就没有启动的条件，这才是“真正禁用”的本质。正是因为这样，我每次给朋友处理完都会特别交代一句：如果哪天你确实需要手动更新某个浏览器，一定要记得把目录权限里的“拒绝Everyone”清掉，否则怎么点更新都没反应。这套方案我自己用了挺长时间，日常办公、下载、看视频都没碰到额外干扰，如果你也被Chrome、Edge的强制更新烦到，照着操作一遍，应该能清净很久。