在域环境里批量管理计算机配置时，管理员经常同时用到组策略中的策略设置与组策略首选项。这两者都能改注册表、映射驱动器、改本地用户属性，但底层实现和生效逻辑完全不同。当同一个配置点被两边都设置了，机器重启或执行gpupdate之后，最终留下的值常常让人困惑。要搞清楚优先级，必须先明白它们分别由什么组件在什么时候写入。
策略设置与首选项的技术实现差异
组策略策略设置主要来源于管理模板（Administrative Templates），其背后是注册表中受系统保护的策略分支，例如HKEY_LOCAL_MACHINESOFTWAREPolicies。这部分配置由Windows自带的策略客户端扩展在系统启动或用户登录早期阶段处理，写入的值带有强制属性，普通用户甚至部分软件无法直接修改。策略设置通常以注册表值或安全选项形式存在，结构固定，不支持复杂的项目级操作逻辑。
组策略首选项则是一套更灵活的客户端扩展机制，包含在组策略首选项（Group Policy Preferences，简称GPP）中。它支持注册表、文件、文件夹、快捷方式、本地用户和组、映射网络驱动器等多种目标类型，并通过XML文件下发到客户端。首选项在策略设置之后由对应的CSE（Client Side Extension）处理，以普通权限写入目标位置，例如直接写HKEY_LOCAL_MACHINESOFTWARE下的非Policies键。因为不是强制策略，首选项写入的值更容易被用户或脚本覆盖。
从实现上看，策略设置更像操作系统内置的“硬规则”，而首选项是“建议配置”。这种定位差异决定了它们在冲突时的默认行为：策略设置由于其处理顺序靠前且写入受保护区域，往往成为基础配置；首选项则可用于补充或按条件调整。但在实际项目中，如果首选项配置了“替换”动作而非“更新”或“创建”，就可能把策略设置之外的同键位值改写掉，造成看似策略失效的现象。
刷新顺序与覆盖逻辑的真实表现
当域控制器下发GPO后，客户端执行组策略处理分为计算机配置和用户配置两个阶段。计算机策略在开机时先处理，用户策略在登录时处理。在每个阶段内，系统先应用传统的策略设置（含安全设置、管理模板），再调用首选项客户端扩展处理首选项。这意味着从时间线上，策略设置总是先于首选项落地。
如果策略设置和首选项修改的是同一个注册表路径下的同一个值，由于首选项后写，且默认动作常为“更新”（Update），它就会把策略设置之外但同路径的值覆盖。不过策略设置写入的是Policies分支，首选项若指向非Policies分支，两者实际并存不冲突。真正冲突多发生在管理员误把首选项注册表项指向了Policies分支，或用了首选项“文件”操作去改被策略锁定的配置文件。
首选项还提供“仅应用一次”和“移除未配置项”等选项。若配置为“使用项目级目标”并按条件跳过，则不会覆盖策略设置。我们可以通过以下PowerShell片段检查某机已生效的注册表策略与首选项痕迹，辅助判断谁最后动了配置：
# 查看策略分支下的某配置 Get-ItemProperty -Path "HKLM:SOFTWAREPoliciesMicrosoftWindowsSystem" -Name EnableSmartScreen -ErrorAction SilentlyContinue # 查看首选项可能写入的普通分支 Get-ItemProperty -Path "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionExplorer" -Name SmartScreenEnabled -ErrorAction SilentlyContinue # 导出组策略结果 gpresult /h C:tempgpreport.html
上述代码中，我们分开读取Policies分支与普通分支，因为首选项常写普通分支。若普通分支的值与预期策略不符，多半是首选项后写导致。结合gpresult报告能进一步看到哪个GPO中的首选项条目生效。
如何规划二者分工避免优先级纠纷
在大型域架构中，建议将强制类、安全基线类配置全部放在策略设置中，例如密码长度、审计策略、禁用匿名共享等。这类配置要求不可被用户改动，用策略设置最稳妥。首选项则留给需要按部门、按计算机名灵活推送的内容，比如映射不同楼层的打印机、给特定组加本地管理员说明、按时间映射临时共享。
若不得已在首选项中操作与策略设置相近的键，应明确指定注册表路径避开Policies分支，或把首选项动作设为“创建”（Create）而非“替换”（Replace），并配合项目级目标过滤。这样即使策略设置和首选项同时存在，也不会互相抹除。下表给出常见场景的推荐分工：
| 配置类型 | 推荐使用 | 原因 |
|---|---|---|
| 账户锁定阈值 | 策略设置 | 需强制且写入安全数据库 |
| 部门打印机映射 | 首选项 | 需按群组条件灵活下发 |
| IE主页（旧版） | 首选项 | 策略模板未必覆盖，且需分用户 |
| 关闭远程桌面 | 策略设置 | 安全基线，禁止用户改回 |
排错时，优先用rsop.msc或gpresult确认策略设置是否真的到达客户端。若策略设置到达但值不对，再检查是否有首选项在同路径后写。养成把策略设置和首选项分开文档化的习惯，可以明显减少“明明设了组策略却不生效”的工单。理解它们谁先写、写哪里、能否被覆盖，是域运维的基本功。