火狐浏览器ESR版如何利用user.js文件强制锁定企业安全设置？

user.js文件可最高优先级固化Firefox ESR安全设置。需存于配置文件目录，内容含5项user_pref()语句禁用JS、剪贴板事件等，保存为UTF-8无BOM，设为只读并验证“已锁定”状态，同时排查组策略冲突。

在企业环境中，Firefox ESR用户配置常被插件、策略或误操作覆盖，导致安全设置失效；user.js文件可优先级最高地固化关键安全参数，每次启动自动重载，绕过about:config篡改风险。

准备user.js文件存放位置

关闭所有Firefox进程，包括后台残留的firefox.exe（可在任务管理器中确认）。
在地址栏输入about:support，点击“显示文件夹”按钮，打开当前配置文件目录。
检查该目录下是否存在user.js文件：若存在，先备份原文件再编辑；若不存在，则新建一个纯文本文件，命名为user.js（注意无.txt后缀）。

写入强制锁定的安全设置项

用记事本或VS Code等纯文本编辑器打开user.js，逐行写入以下user_pref()语句，每行一条，末尾必须有分号：

user_pref("javascript.enabled", false);
user_pref("dom.event.clipboardevents.enabled", false);
user_pref("browser.download.manager.scanWhenDone", false);
user_pref("browser.safebrowsing.downloads.enabled", false);
user_pref("network.http.referer.XOriginTrimmingPolicy", 2);

这五项分别禁用JS执行、剪贴板事件监听、下载后本地扫描、远程恶意下载检测、并精简跨域Referer头——全部为常见企业安全基线要求。其中network.http.referer.XOriginTrimmingPolicy = 2表示仅发送源域名，不带路径和参数，可防敏感信息泄露。

验证设置是否生效

保存user.js文件，确保编码为UTF-8无BOM格式（否则Firefox可能静默忽略整文件）。
重新启动Firefox ESR，访问about:config，搜索javascript.enabled，确认其值为false且右侧显示“已锁定”图标。
同样验证其他四项是否显示“已锁定”，若任一项目未锁定，说明user.js路径错误、文件名拼写错误或存在语法错误（如漏掉分号、引号不匹配）。

防止user.js被覆盖或绕过

第一步：右键点击user.js文件 → 属性 → 勾选“只读”，避免程序自动写入覆盖。
第二步：检查配置文件夹内是否存在prefs.js或user.js.bak等同类文件，删除或重命名以防冲突。
第三步：【必须确认about:config中network.http.referer.XOriginTrimmingPolicy未被策略组覆盖】，因为Windows组策略中的“Referrer Policy”设置优先级高于user.js，若已部署ADMX策略，需同步调整ExtensionSettings或禁用对应策略项。