最直接有效的方式是通过组策略编辑器在计算机配置层级启用可移动存储访问策略，如“所有可移动存储类：拒绝所有访问”，并同步启用设备安装限制与禁用自动播放等加固措施。
最直接有效的方式是通过组策略编辑器，在计算机配置层级启用对应访问控制策略，重点作用于系统驱动加载与设备访问层，而非简单隐藏盘符或禁用端口。
启用核心可移动存储访问策略
该路径适用于Windows专业版、企业版及教育版，需以管理员身份操作：
- 按 Win + R 输入 gpedit.msc 打开本地组策略编辑器
- 导航至：计算机配置 → 管理模板 → 系统 → 可移动存储访问
- 启用以下任一或全部策略（推荐组合使用）：
- 所有可移动存储类：拒绝所有访问 —— 插入U盘后无盘符、无设备识别，彻底阻断
- 可移动磁盘：拒绝读取权限 —— 设备可见但无法打开、复制内容
- 可移动磁盘：拒绝写入权限 —— 允许查看文件，禁止拷贝入、修改、格式化等操作
- 每项设置后点击“确定”，完成后执行 gpupdate /force 刷新策略，或重启资源管理器（taskmgr → 重启explorer.exe）
叠加设备安装限制增强防护
仅靠访问策略可能被已安装驱动绕过，建议同步封堵驱动安装环节：
- 在相同组策略编辑器中，定位到：计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制
- 启用：禁止安装可移动设备
- 同时启用：禁止安装与下列设备ID相匹配的设备，并在下方添加硬件ID：USBSTOR\*
- 该设置阻止新U盘首次接入时加载驱动，对已识别设备需重新插拔或重启生效
补充关键加固措施
防止脚本执行、手机数据传输等常见绕过方式：
- 禁用自动播放：路径为 计算机配置 → 管理模板 → Windows组件 → 自动播放策略，设为“所有驱动器”并启用
- 限制WPD设备写入：在“可移动存储访问”下启用 WPD设备：拒绝写入权限，防止安卓手机通过MTP模式导出文件
- 关闭USBSTOR服务（可选）：运行 services.msc，找到 USB Storage 服务，启动类型设为“禁用”
验证与排错要点
策略部署后务必实测确认效果：
- 插入U盘后，检查设备管理器是否显示“已禁用”或带黄色感叹号；磁盘管理中是否无卷标或提示“无媒体”
- 运行 gpresult /h report.html 查看该GPO是否成功应用到本机
- 若仍可读写，排查是否被更高优先级GPO覆盖、本地策略冲突，或目标机未加入域/未刷新策略
- Windows 10/11专业版以上终端，可配合Intune等MDM策略做双重控制
