secure boot是uefi固件内置的信任验证机制，通电即检查bootloader签名、拦截未认证代码加载，硬性阻止非法启动；预装win8+系统默认启用且兼容，但装win7/xp或多数linux发行版需关闭，否则无法启动。
当你在BIOS里看到Secure Boot选项却不敢动，担心关了Windows进不去、开了Linux装不上，说明你正被这项UEFI安全机制的实际影响卡住——它不是开关而已，而是决定系统能否启动、驱动能否加载、内核能否运行的底层闸门。
Secure Boot的核心作用
Secure Boot是UEFI固件内置的信任验证机制，它在通电后第一毫秒就开始工作：检查Bootloader是否由可信密钥签名，验证内核模块是否被篡改，拦截任何未经认证的启动组件。
这一步操作起来很简单，直接把文件拖进去就行。但它的效果不是“提示警告”，而是【硬性阻止加载】——没有有效签名的代码连内存都不会被载入。
它不防运行时病毒，只管启动链最前端。一旦绕过，后续所有防护都形同虚设。
对Windows系统的影响
预装Win8及更新版本的电脑，主板出厂时已预置微软公钥。Secure Boot默认开启，且Windows Boot Manager自带有效签名，因此正常运行不受影响。
但如果你要降级安装Win7或XP，就必须关闭Secure Boot，否则系统根本无法通过启动验证阶段。
【注意：关闭Secure Boot后首次进入Windows，会弹出“启动设置已更改”提示，这是UEFI标准行为，按回车继续即可，无需恐慌】
对Linux双系统的影响
第一步：确认你的发行版是否官方支持Secure Boot。Ubuntu 18.04+、Fedora、openSUSE等主流版本已集成shim引导程序并获微软签名，理论上可开Secure Boot。
第二步：检查硬件驱动是否兼容。NVIDIA闭源驱动、Realtek网卡DKMS模块、自编译内核等【几乎全部无有效签名】，启用Secure Boot会导致黑屏、无网络、显卡失效。
第三步：权衡风险与便利。企业环境需防固件级攻击，可启用并手动注册密钥；个人日常使用，关闭更省心——联想小新、华为MateBook等机型实测，关Secure Boot后Ubuntu安装成功率提升至98%以上。
对嵌入式与产品化设备的影响
Jetson、Android设备、IoT终端启用Secure Boot不是可选项，而是量产准入门槛。
方法一：防止Bootloader被替换。攻击者无法刷入恶意引导程序，避免整机被接管。
方法二：保护OTA升级通道。非法固件因签名不符被固件层直接丢弃，杜绝中间人篡改。
方法三：锁定调试接口。JTAG、fastboot等通道自动上锁，TEE日志与dump信息被屏蔽，防止逆向提取密钥和算法。
这一步不能跳过，私钥一旦泄露，整条信任链即告崩溃。
