火狐浏览器ESR版如何通过user.js文件强制锁定企业安全设置？

说个现实问题：在企业环境里，Firefox ESR的安全配置经常被插件、策略或者手滑操作给覆盖掉，辛辛苦苦设好的参数转眼就失效。其实有个好办法——用user.js文件，它能以最高优先级锁定关键安全设置，每次启动自动加载，连about:config里改都改不动。

准备工作很简单，两步搞定：先把user.js塞进配置文件目录，再往里写几条user_pref()语句，禁用JS、剪贴板事件这些。保存的时候注意编码得是UTF-8无BOM，然后设成只读、验证“已锁定”状态。最后还得排查一下组策略有没有冲突，别让上层策略给压过去了。

准备user.js文件存放位置

开始前，先彻底关闭所有Firefox进程——别光关窗口，后台还挂着firefox.exe呢，去任务管理器确认一下。

在地址栏输入about:support，点那个“显示文件夹”按钮，配置文件目录就出来了。看看里面有没有user.js文件：有的话先备份再编辑；没有就新建一个纯文本文件，改名为user.js（注意！.txt后缀必须去掉）。

写入强制锁定的安全设置项

用记事本或VS Code之类的纯文本编辑器打开user.js，逐行写入下面这几条，每条末尾记得加分号：

user_pref("ja vascript.enabled", false);
user_pref("dom.event.clipboardevents.enabled", false);
user_pref("browser.download.manager.scanWhenDone", false);
user_pref("browser.safebrowsing.downloads.enabled", false);
user_pref("network.http.referer.XOriginTrimmingPolicy", 2);

这五条分别干掉了：JS执行、剪贴板事件监听、下载后本地扫描、远程恶意下载检测，还有精简跨域Referer头。最后一条特别关键——network.http.referer.XOriginTrimmingPolicy = 2表示只发送源域名，路径和参数一概不传，防敏感信息泄露的标配。

验证设置是否生效

保存user.js，编码一定选UTF-8无BOM，否则Firefox可能直接无视整个文件。

重启Firefox ESR后，访问about:config，搜ja vascript.enabled——值显示false，右边还有个“已锁定”图标，这就对了。同理检查其他四项，如果哪项没锁定，八成是路径不对、文件名写错，或者语法有毛病（比如漏了分号、引号不配对）。

防止user.js被覆盖或绕过

第一，右键user.js → 属性 → 勾选“只读”，防止程序自动把它改回去。
第二，检查配置文件夹里有没有prefs.js或user.js.bak这类文件，有就删掉或改个名，别让它捣乱。
第三，特别提个醒：去about:config确认一下network.http.referer.XOriginTrimmingPolicy有没有被组策略覆盖。Windows组策略里的“Referrer Policy”设置优先级比user.js还高，如果单位已经部署了ADMX策略，得同步调整ExtensionSettings，或者干脆把对应策略项禁掉。