过时 ActiveX 控件阻止（适用于 IT 专业人员的 Internet Explorer 11）

注意

更新： 已通过某些 Windows 10 版本的 Microsoft Edge 更新永久禁用了已停用、不再受支持的 Internet Explorer 11 桌面应用程序。 有关详细信息，请参阅 Internet Explorer 11 桌面应用停用常见问题解答。

适用于：

ActiveX 控件是一些小应用，网站可以使用这些小应用提供视频和游戏等内容，你也可以与工具栏等内容进行交互。 遗憾的是，因为许多 ActiveX 控件不会自动更新，因此它们可能在新版本发布时变为过时版本。 使 ActiveX 控件保持最新状态非常重要，因为恶意软件可能针对过时控件中的安全漏洞，通过从计算机收集信息、安装不需要的软件或者使其他人远程控制它来破坏计算机。 为了帮助避免这种情况，Internet Explorer 包含了新的安全功能，称为过时 ActiveX 控件阻止。

过时 ActiveX 控件阻止使你可以：

在 IE 阻止网页加载常用但已过时的 ActiveX 控件时收到通知。

与网页中其他不受过时控件影响的部分进行交互。

更新过时的控件，使其保持最新并且可以更安全地使用。

过时 ActiveX 控件阻止功能适用于所有安全区域，本地 Intranet 区域和受信任的站点区域除外。

它还适用于以下操作系统和 IE 的组合：

有关此新功能的详细信息，请参阅 Internet Explorer 开始阻止过时 ActiveX 控件博客。 若要查看此功能阻止的过时 Active 控件的完整列表，请参阅阻止的过时 ActiveX 控件。

当 IE 阻止一个过时的 ActiveX 控件时，你将看到一个与此类似的通知栏，具体取决于你的 IE 版本：

Internet Explorer 9 到 Internet Explorer 11

Windows Internet Explorer 8

当某个网页尝试启动 IE 之外的特定过时应用时，过时 ActiveX 控件阻止还会向你提供一条安全警告予以告知：

从关于过时 ActiveX 控件的通知中，你可以转到该控件的网站来下载它的最新版本。

获取已更新的 ActiveX 控件

从通知栏中，点击或单击更新。

IE 将打开 ActiveX 控件的网站。

下载该控件的最新版本。

安全说明：如果你不完全信任某个站点，则不应允许它加载过时 ActiveX 控件。 不过，尽管我们不推荐这样做，但你可以通过点击或单击这次运行来查看缺失的网页内容。 无需更新或修复该问题，此选项即可运行 ActiveX 控件。 下次访问运行同一过时 ActiveX 控件的网页时，你将再次收到该通知。

获取已更新的应用

从安全警告中，点击或单击更新链接。

IE 将打开应用的网站。

下载该应用的最新版本。

安全说明：如果你不完全信任某个站点，则不应允许它启动已过时的应用。 不过，尽管我们不推荐这样做，但你可以通过点击或单击允许来使网页启动该应用。 无需更新或修复该问题，此选项即可打开该应用。 下次访问运行同一过时应用的网页时，你将再次收到该通知。

IE 使用 Microsoft 的 versionlist.xml 或 versionlistWin7.xml 文件确定是否应停止加载 ActiveX 控件。 这些文件通过新发现的过时 ActiveX 控件进行更新，IE 将这些文件自动下载到该文件的本地副本。

可以在此处（%LOCALAPPDATA%\Microsoft\Internet Explorer\VersionManager\versionlist.xml）查看该文件的副本，也可以根据以下操作系统和 IE 的版本查看 Microsoft 版本：

安全说明：尽管我们强烈建议你不要这样做，但是如果你不希望计算机从 Microsoft 自动下载已更新的版本列表，请从命令提示符运行以下命令：

如果关闭此自动下载，版本列表将不会更新新的过时控件，从而中断过时 ActiveX 控件阻止功能，这可能会对计算机带来安全风险。 你必须自行承担使用此配置选项所带来的风险。

注意

更新： 已通过某些 Windows 10 版本的 Microsoft Edge 更新永久禁用了已停用、不再受支持的 Internet Explorer 11 桌面应用程序。 有关详细信息，请参阅 Internet Explorer 11 桌面应用停用常见问题解答。

受管理设备上的过期 ActiveX 控制阻止包括四个新的组策略设置，可用于基于域控制器管理 Web 浏览器配置。 可以从 Windows 10 的管理模板 (.admx) 页面或 Windows 8.1 和 Windows Server 2012 R2 的管理模板 (.admx) 页面下载管理模板（包括新设置），具体取决于你的操作系统。

下面是新的组策略信息的列表，包括设置、位置、要求和帮助文本字符串。 所有这些设置都可在计算机配置或用户配置范围内设置，但是计算机配置优先于用户配置。

重要提示 过时 ActiveX 控件阻止在“本地 Intranet 区域”和“受信任的站点区域”中处于关闭状态；因此，Intranet 网站和业务线应用将继续使用过时的 ActiveX 控件，而不会发生中断。

如果你启用此设置，IE 会将 ActiveX 控件信息（包括加载该控件的源 URI 和是否阻止它）记录到一个本地文件中。

如果你禁用或未配置此设置，IE 将不会记录 ActiveX 控件信息。

请注意，无论关闭 IE 对过时 ActiveX 控件的阻止或关闭 IE 在特定域上对过时 ActiveX 控件的阻止设置如何，你都可以打开或关闭此设置。

如果启用此设置，在 IE 阻止过时 ActiveX 控件时出现的警告消息上，用户将不会看到此次运行按钮。

如果禁用或未配置此设置，在 IE 阻止过时 ActiveX 控件时出现的警告消息上，用户将会看到此次运行按钮。 通过单击此按钮，用户可运行一次过时 ActiveX 控件。

如果启用此设置，你可以输入一个域的自定义列表，将不会在 IE 中针对这些域阻止过时 ActiveX 控件。 每个域条目都必须采用以下格式之一：

如果禁用或未配置此设置，将删除该列表，IE 将继续在 Internet 区域中的所有域上阻止特定的过时 ActiveX 控件。

如果启用此设置，则 IE 将停止阻止过时的 ActiveX 控件。

如果禁用或未配置此设置，则 IE 将继续阻止特定的过时 ActiveX 控件。

如果你不希望使用组策略，你还可以使用注册表打开或关闭这些设置。 可以手动更新注册表。

其中：

其中：

其中：

其中：

其中：

你可以清查在公司中使用的 ActiveX 控件，方法是打开启用 IE 中的 ActiveX 控件日志记录设置：

Windows 10： 通过逗号分隔值 (.csv) 文件或通过本地 Windows Management Instrumentation (WMI) 类。

所有其他版本的 Microsoft Windows： 仅通过 .csv 文件。

如果你决定通过打开启用 IE 中的 ActiveX 控件日志记录设置来清查在公司中使用的 ActiveX 控件，则 IE会将 ActiveX 控件信息记录到 %LOCALAPPDATA%\Microsoft\Internet Explorer\AuditMode\VersionAuditLog.csv 文件中。

下面是 VersionAuditLog.csv 文件中所包含内容的详细示例和说明。

其中：

源 URI。 已加载 ActiveX 控件的页面的 URL。

文件路径。 实现 ActiveX 控件的二进制文件的位置。

产品版本。 实现 ActiveX 控件的二进制文件的产品版本。

文件版本。 实现 ActiveX 控件的二进制文件的文件版本。

允许/阻止 IE 是否已阻止 ActiveX 控件。

增强保护模式 (EPM) 兼容。 已加载的 ActiveX 控件是否与增强保护模式兼容。

注意增强保护模式在 Internet Explorer 9 或更早版本的 IE 上不受支持。 因此，如果你使用的是 Internet Explorer 8 或 Internet Explorer 9，则所有 ActiveX 控件都将始终标记为 EPM 不兼容。

原因。 可能因为以下任一原因而阻止或允许 ActiveX 控件：

对于 Windows 10，还可以选择将清单信息记录到本地 WMI 类。 记录到此类的信息包括从 .csv 文件获取的所有信息，以及已加载 ActiveX 控件的 CLSID 或从 ActiveX 控件启动的任何应用的名称。

在可以使用 WMI 清查 ActiveX 控件之前，需要下载配置包（.zip 文件），其中包括：

ConfigureWMILogging.ps1。 Windows PowerShell 脚本。

ActiveXWMILogging.mof。 托管对象文件。

运行 PowerShell 脚本之前，必须将 .ps1 和 .mof 这两个文件复制到客户端计算机上的同一目录位置。

配置 IE 以使用 WMI 日志记录

打开组策略编辑器，然后打开 Administrative Templates\Windows Components\Internet Explorer\Turn on ActiveX control logging in IE 设置。

在客户端设备上，在提升模式下（使用管理员权限）启动 PowerShell 并运行 ConfigureWMILogging.ps1，方法是使用以下命令绕过 PowerShell 执行策略：

有关详细信息，请参阅 about_Execution_Policies。

可选：为 WMI 数据设置域防火墙。 有关详细信息，请参阅使用“企业站点发现”收集数据。

清单信息显示在 WMI 命名空间 root\cimv2\IETelemetry 中的 WMI 类IEAXControlBlockingAuditInfo中。 若要从客户端计算机收集清单信息，我们建议使用 System Center 2012 R2 Configuration Manager 或可以访问 WMI 数据的任何代理。 有关详细信息，请参阅 使用“企业站点发现”收集数据。