新装机或重装系统后须立即锁定usb接口：bios/uefi硬件级禁用usb适用于高安全场景，需设管理员密码；windows组策略可精准限制存储类设备而保留键鼠功能；注册表修改usbstor服务值为4或删除该键值可深度屏蔽u盘等存储设备，重启生效。
需要在新装机或重装系统后立即锁定USB接口，防止U盘病毒自动运行、员工私自拷贝资料、外接设备绕过审批接入内网——这类需求必须在系统刚部署完成、尚未交付使用前就完成USB端口的定向管控。
BIOS/UEFI硬件级禁用全部USB端口
这是唯一能阻断所有USB设备（包括键盘鼠标）在系统加载前介入的方式，适用于涉密终端、工控主机、无人值守服务器等高安全场景。操作前请确认已连接PS/2键鼠或主板支持USB键盘唤醒功能，否则将无法进入系统。
重启电脑，在开机自检画面出现时迅速连按Del键（部分品牌为F2、F10或Esc，具体以主板右下角提示为准）→进入BIOS/UEFI界面→使用方向键切换至Advanced或Security标签页→找到USB Configuration或USB Controller选项→将对应项设为Disabled→按F10保存并退出。
【务必设置BIOS管理员密码】否则任何人在重启时都能重新启用USB，等于白设。
Windows组策略精准限制可移动存储类设备
适合办公电脑日常管控：允许USB键盘、鼠标、打印机正常工作，但禁止U盘、移动硬盘、手机MTP模式识别——这才是真正的“指定接口安全设置”，不是一刀切封死。
按Win+R输入gpedit.msc→回车打开本地组策略编辑器→依次展开：计算机配置 → 管理模板 → 系统 → 可移动存储访问→双击打开所有可移动存储类：拒绝所有权限→勾选已启用→点击确定。
这一步不会立刻生效，必须重启电脑。重启后插入U盘会显示“访问被拒绝”，但USB鼠标仍可移动光标、键盘仍可输入——说明策略已精准命中存储类设备，而非物理端口。
若需临时放行某台设备，可在同一策略路径下启用允许只读访问，再配合设备ID白名单（需额外脚本支持），但基础策略本身不提供设备级识别能力。
注册表深度屏蔽USBSTOR服务（仅限存储设备）
当组策略不可用（如家庭版Windows）或需绕过策略缓存延迟时，直接修改注册表是最底层的干预方式。它比组策略更早生效，且重启后自动加载，无需手动触发策略刷新。
方法一：禁用USB存储驱动服务
按Win+R输入regedit→定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR→双击右侧Start→将数值数据改为4（十六进制或十进制均可）→关闭注册表编辑器。
方法二：彻底删除USBSTOR启动项（不可逆）
在相同路径下，右键USBSTOR文件夹→选择删除→确认执行。此操作会导致系统永久丢失识别任何USB存储设备的能力，即使恢复注册表也需重装驱动。
【改完必须重启才生效】且重启后设备管理器中将不再显示USB大容量存储控制器，这是生效的明确标志。
