secure boot在bios中灰色不可选是因uefi固件强制锁定，需依次禁用os optimized defaults、关闭csm（确保系统盘为gpt）、清除pk/kek/db密钥后，方可启用secure boot control。
Secure Boot在BIOS中显示为灰色不可选，说明UEFI固件已主动锁定该选项，不是界面卡顿或操作失误导致，而是底层启动策略正在强制执行安全约束；必须依次解除OS Optimized Defaults绑定、禁用CSM、清除平台密钥，才能恢复对Secure Boot Control的编辑权限。
先解除OS Optimized Defaults自动锁定
很多华硕、惠普、联想预装Win10/11的机型，默认启用“OS Optimized Defaults”，它会把Secure Boot、CSM、Boot Mode等设置一并置灰，不关掉它，后面所有操作都无效。
开机按F2（华硕/部分惠普）或F1（ThinkPad）进入BIOS→方向键切换到【Boot】或【Exit】选项卡→找到【OS Optimized Defaults】→按Enter设为【Disabled】或【Other OS】→按F10保存退出。
这一步做完后务必重启再进BIOS验证，因为部分机型需二次加载才能刷新菜单状态。若仍灰色，继续下一步。
禁用CSM并确认GPT分区结构
Secure Boot和CSM互斥：只要CSM处于Enabled状态，Secure Boot Control必定禁用且置灰。但直接禁用CSM有风险——【若系统盘是MBR分区，将无法启动】。
进入BIOS→切换至【Boot】选项卡→找到【Launch CSM】或【CSM Support】→设为【Disabled】→按F10保存并重启。
禁用CSM前，请在Windows中以管理员身份运行diskpart→输入list disk→观察“GPT”标识是否存在。无GPT则不能直接禁用CSM，需先转分区格式或重装系统。
清除平台密钥并重设Secure Boot状态
第一步：关闭Device Guard（仅限ThinkPad X1 Carbon、T14s等Skylake及更新平台）
进入BIOS→切换到【Security】选项卡→找到【Device Guard】→设为【Disabled】→保存退出。
第二步：关闭Kernel DMA Protection
仍在【Security】下→进入【Virtualization】子菜单→找到【Kernel DMA Protection】→设为【Disabled】→保存退出。
第三步：清除全部密钥
切换到【Security】→【Key Management】→依次执行Clear PK→Clear KEK→Clear DB，每项完成后等屏幕提示“Success”再进行下一项。
第四步：重设Secure Boot
返回【Security】→【Secure Boot】→此时“Secure Boot Control”已可编辑→设为Disabled→按F10保存退出。
