必须用管理员账户运行gpedit.msc，依次配置“禁止安装匹配下列设备id的设备”策略并填入四个usb键盘设备id，执行gpupdate /force后可彻底阻断usb键盘识别，不影响其他usb hid设备。
企业内网需要彻底阻断USB键盘接入，防止员工私自更换外设绕过审计或植入硬件木马，必须切断系统对USB HID类键盘设备的识别能力。
确认组策略适用版本与权限
仅Windows专业版、企业版、教育版内置本地组策略编辑器（gpedit.msc），家庭版不支持。需以管理员身份登录操作，普通账户无法修改计算机配置路径下的策略。
【必须用管理员账户运行gpedit.msc，否则“计算机配置”节点不可见】
禁用所有USB HID键盘设备
该方法直接屏蔽USB接口上报的HID键盘描述符，比禁用整个USB控制器更精准，不影响USB鼠标、打印机等非键盘HID设备。
第一步：按Win+R输入gpedit.msc→回车打开组策略编辑器；
第二步：左侧依次展开：计算机配置→管理模板→系统→设备安装→设备安装限制；
第三步：在右侧找到“禁止安装匹配下列设备ID的设备”，双击打开；
第四步：勾选“已启用”，点击“显示…”按钮；
第五步：在弹出窗口中逐行填入以下四个标准USB键盘设备ID（每行一个，大小写敏感）：
USB\Class_03&SubClass_01&Prot_01
USB\Class_03&SubClass_01&Prot_02
USB\Class_03&SubClass_01
USB\VID_&PID_&REV_
注意：最后一行是通配模式，用于拦截未列明厂商型号的USB键盘，不可删除；前四行覆盖绝大多数主流键盘的HID协议变体。
验证并强制策略生效
关闭组策略编辑器后，无需重启电脑，但必须刷新策略缓存。
以管理员身份打开命令提示符，执行：gpupdate /force
执行完成后，立即拔插任意USB键盘——系统将不再弹出“正在安装设备驱动”提示，设备管理器中不会出现新键盘条目，且无法输入任何字符。
