直接修改 /etc/default/grub 中的 GRUB_DEFAULT 并运行 sudo update-grub 才生效；手动改 /boot/grub/grub.cfg 会被覆盖；用 grep -E 'menuentry |submenu ' /boot/grub/grub.cfg | sed ... | nl 查真实菜单顺序，索引从0开始；推荐用精确菜单名（如 "Windows Boot Manager (on /dev/nvme0n1p1)"）而非数字，避免内核更新导致偏移；grub-reboot 仅支持数字索引，用于临时切换；调试时应设 GRUB_TIMEOUT=5 确认生效。
直接改 /etc/default/grub 里的 GRUB_DEFAULT，再运行 sudo update-grub，就能生效。手动编辑 /boot/grub/grub.cfg 不但白费劲，还会在下次内核更新时被覆盖。
怎么确认当前 GRUB 菜单的真实顺序
别猜，也别数“看起来第几个”，/boot/grub/grub.cfg 是自动生成的，菜单顺序取决于脚本执行顺序和内核安装历史。真正能反映实际可选项的命令是：
grep -E 'menuentry |submenu ' /boot/grub/grub.cfg | sed "s/^.*[\"']\([^\"']*\)[\"'].*$/\1/" | nl
输出里带 submenu 的行（比如 “Advanced options for Ubuntu”）不算可选默认项；只有 menuentry 开头的才参与默认选择，索引从 0 开始。例如：
1 Ubuntu
2 Windows Boot Manager (on /dev/nvme0n1p1)
3 Ubuntu, with Linux 6.8.0-45-generic
这里第 2 行才是你要设为默认的 Windows 启动项，对应索引是 1（不是 2）。
GRUB_DEFAULT 用数字还是菜单名更稳
用菜单名更稳妥，尤其当你频繁更新内核或装多系统时。数字索引容易偏移：新内核加进子菜单顶部，顶级菜单顺序没变，但子菜单里的项位置一动，GRUB_DEFAULT=0 可能就指向了“Advanced options”而不是你想要的内核。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
-
GRUB_DEFAULT=1：靠索引，简单但脆弱 -
GRUB_DEFAULT="Windows Boot Manager (on /dev/nvme0n1p1)"：靠精确字符串匹配，必须和grub.cfg里完全一致（包括空格、括号、设备路径） - 如果菜单名含特殊字符（如单引号），用双引号包裹，且确保复制时没带不可见 Unicode 字符
改完配置后必须执行 update-grub
/etc/default/grub 只是模板，不生成真实配置。不运行 sudo update-grub，修改就等于没写。
- Debian/Ubuntu 系：
sudo update-grub - RHEL/CentOS/Fedora 系：
sudo grub2-mkconfig -o /boot/grub2/grub.cfg - 运行后会提示 “Generating grub configuration file”，末尾没报错才算成功
- 如果提示 “no suitable mode found”，通常是显卡驱动或分辨率设置问题，不影响默认项生效，可先忽略
临时切换启动项用 grub-reboot
只换下一次启动，不用改默认配置。注意：grub-reboot 只接受数字索引，不支持菜单名。
- 先用前面的
grep命令确认目标项索引（比如 Windows 是第 2 行 → 索引1） - 执行
sudo grub-reboot 1 - 再
sudo reboot，下次就进 Windows，之后自动切回原默认项 - 想取消这次临时设置？重启前执行
sudo grub-reboot 0或直接关机不重启
最容易被忽略的是：GRUB 菜单默认可能隐藏（GRUB_TIMEOUT=0），导致你看不到自己设的顺序是否真生效。调试阶段建议先设 GRUB_TIMEOUT=5 并取消 splash，亲眼确认菜单内容和高亮项再收工。
