企业级火狐ESR组策略统一配置管理插件方法

在企业环境中管理 Firefox ESR，核心在于通过 Windows 组策略控制插件权限。批量部署 ESR 版本后，统一禁用、强制安装或限制特定插件（如广告拦截、密码管理）是必要步骤，否则员工私自安装不可控扩展将带来安全风险与策略违规问题。

下载并安装 Firefox ADMX 策略模板

首先，访问 Mozilla 官方 GitHub releases 页面，下载 policy_templates 压缩包。需注意压缩包版本必须与当前部署的 Firefox ESR 版本完全匹配。例如，若部署 ESR 115.12.0，则应下载 policy_templates_v4.12.zip；版本不匹配将导致策略项无法显示。

解压后，将 windows/firefox.admx 复制到 C:\Windows\PolicyDefinitions，将 windows\zh-cn\firefox.adml 复制到 C:\Windows\PolicyDefinitions\zh-cn。若系统语言非简体中文，请将路径中的 zh-cn 替换为对应语言代码（如 en-us）。

完成后，运行 gpedit.msc 验证：依次展开“计算机配置 → 管理模板”，查看左侧树状菜单是否出现“Firefox”节点。若未出现，说明 ADMX/ADML 部署未完成，请检查路径与文件权限。

强制禁用所有用户插件（含已安装）

在组策略编辑器中，导航至“计算机配置 → 管理模板 → Firefox → Extensions”。

双击“Disable extensions”策略，选择“已启用”并确定。此操作将禁止所有已安装、用户自行安装或未来可能安装的插件。重启浏览器后，插件栏将消失，about:addons 页面也无法访问。该方法直接且有效。

需注意，该操作不可逆。只要策略不解除，用户将无法启用任何插件，包括企业批准的内部扩展。

仅允许指定插件白名单运行

若需更精细的控制，可使用 ExtensionSettings 策略建立白名单。

在“计算机配置 → 管理模板 → Firefox → Extensions”下，启用“ExtensionSettings”策略。

点击“显示…”按钮，在值列表中逐行录入 JSON 格式规则，例如：

{"mycorp-auth@internal.example.com":{"installation_mode":"force_installed","install_url":"https://intranet/plugins/auth.xpi"}}

每行对应一个插件 ID，该 ID 必须与插件 manifest.json 中 applications.gecko.id 字段完全一致（大小写敏感）。install_url 指向内网可访问的 .xpi 文件地址，支持 HTTP 协议，无需强制 HTTPS 证书。

如需实现静默更新，可在同一路径下启用“ExtensionUpdateURL”策略，填写企业内部扩展更新服务地址，例如 https://updates.intra.corp/firefox/extensions/。需注意，该地址返回的 JSON 必须符合 Mozilla 扩展更新协议格式，否则插件将无法升级。

阻止用户访问扩展商店及安装来源

白名单之外，还需封堵所有绕过路径。

第一步：启用“Block about: URLs”策略，勾选“about:addons”。这样用户将无法打开插件管理页面。

第二步：启用“Disable installation of add-ons from websites”。从网页拖放 .xpi 文件或点击安装按钮的操作均被禁止。

第三步：在“Firefox → Preferences”路径下，启用“Disable about:config”策略。此步骤可防止用户尝试修改 xpinstall.enabled 等底层参数以绕过限制，策略锁定后这些操作将无法实现。