火狐浏览器ESR版本如何锁定主页防止被恶意修改？

火狐浏览器的ESR版本，说白了就是企业长期服务版，主打一个稳定、不折腾，所以很多公司、学校都用它来统一部署。但问题也跟着来了——越是这种“官方定制”的版本，越容易被捆绑软件、广告插件或者那些偷偷改你快捷方式的流氓程序盯上。主页被反复篡改，改回去又改回来，烦不烦？其实，要想彻底锁死主页，得从用户配置、启动参数、文件层和系统策略四个维度同时下手，少一层都白搭。

通过设置界面强制启用主页并验证启动模式

这一步是基础中的基础，确保ESR版本图形界面里的配置能生效。但单独操作，防不住那些更底层的劫持。怎么弄？点击右上角三条横线→“设置”→左侧“主页”，在“主页和新窗口”下拉菜单里选“自定义网址”。然后输入你想要的完整目标网址——注意，必须带https://或者http://前缀，比如https://www.baidu.com，否则保存后可能自动失效。接着，在“启动Firefox时”选项中，确认勾选的是“显示您的主页”，而不是“打开上次会话”或“空白页”。最后，关掉设置页，手动关闭所有Firefox窗口，再双击桌面图标重启。如果重启后看到跳转到了异常页面，那就说明劫持已经绕过了这一层，需要继续往下走。

进入about:config清除覆盖标记并修正关键参数

ESR版本对browser.startup.homepage_override.mstone的校验逻辑和普通稳定版一样，但更容易被静默写入。漏掉重置这个参数，你前面所有修改都是白费。在地址栏输入about:config，点击“接受风险并继续”。然后搜索browser.startup.homepage，双击修改成你的目标网址——务必包含协议头，http://或https://缺一不可。接着搜索browser.startup.page，确认值必须是1；如果是3（恢复会话）或4（空白页），那主页根本不会加载。最关键的一步：搜索browser.startup.homepage_override.mstone，右键→“重置”——这一步绝对不能跳过，否则浏览器始终认为“有外部接管”，无视你输入的任何地址。重启浏览器，观察是否又被还原。如果还还原，说明劫持源在更底层，得继续排查。

检查并清理user.js文件与快捷方式劫持

ESR部署环境经常被批量推送脚本注入user.js文件，这个文件优先级高于about:config，每次启动都会强制覆盖主页设置。怎么查？在地址栏输入about:support，找到“配置文件夹”旁边的“显示文件夹”按钮，点击打开文件夹。查看里面有没有user.js文件——如果有，直接删除它；如果拿不准，用记事本打开，查找是否包含user_pref("browser.startup.homepage", "...")这一行，有的话整行删掉。然后，右键桌面Firefox ESR快捷方式→“属性”→“快捷方式”选项卡→“目标”框。正常路径应该是"C:\Program Files\Mozilla Firefox ESR\firefox.exe"（带英文引号）。如果末尾出现空格+http://xxx.com、--homepage=...或?from=adlock等字符，全部删光，只留引号包裹的.exe路径。任务栏固定图标、开始菜单里的快捷方式——三个入口必须全部清理，缺一不可。

部署组策略禁用主页修改（仅限Windows专业版/企业版）

ESR常用在域环境里，组策略是唯一能从系统级别封死IE兼容组件以及Firefox启动参数篡改权限的方式。按Win+R输入gpedit.msc回车，打开本地组策略编辑器。依次展开：用户配置→管理模板→Windows组件→Internet Explorer。找到“禁用更改主页设置”，双击打开→选择“已启用”。然后在下方“主页”框中填入你指定的可信地址，比如https://intranet.company.local。点击“确定”，关闭编辑器。按Ctrl+Shift+Esc打开任务管理器→找到“Windows资源管理器”→右键“重新启动”，使策略立即生效。此后，任何非管理员进程想调用注册表或API修改主页，系统会直接拒绝写入。