统信uos禁用usb接口有五种方法：一、卸载usb_storage模块（临时生效）；二、udev规则屏蔽（持久策略）；三、内核参数黑名单（全局不可绕过）；四、sysfs禁用指定端口（精准控制）；五、bios/uefi关闭usb控制器（物理级隔离）。
统信UOS系统禁用USB接口需根据安全等级和管控粒度选择对应手段：临时阻断要快、策略固化要稳、物理隔离要绝，不能只关文件管理器弹窗或卸载一个模块就认为完成。
卸载usb_storage模块（即时生效，重启失效）
该方法让系统在当前会话中彻底失去识别U盘、移动硬盘等USB存储设备的能力，内核不再加载相关驱动，插上U盘后dmesg里连“usb-storage”字样都不会出现。
打开终端，执行 sudo -i 切换到root权限。
运行 lsmod | grep usb_storage 查看模块是否已加载；若输出非空，说明模块正在运行。
执行 rmmod usb_storage 卸载模块；若提示“Module usb_storage is in use”，需先用 lsof /dev/sd* 找出占用进程并终止，否则卸载失败。
再次运行 lsmod | grep usb_storage，确认无任何输出；此时插入U盘，lsblk 不会出现新磁盘，文件管理器也不显示设备图标。
用udev规则永久屏蔽所有USB存储设备
这是企业内网最常用的安全基线配置，规则在设备接入瞬间触发，直接切断授权链路，比卸载模块更可靠——即使模块被手动加载，规则仍能阻止设备初始化。
方法一：通用设备类拦截（推荐）
执行 sudo nano /etc/udev/rules.d/99-disable-usb-storage.rules 创建规则文件。
写入以下内容：
SUBSYSTEM=="usb", ATTR{bDeviceClass}=="08", ATTR{bDeviceSubClass}=="06", ATTR{bDeviceProtocol}=="50", RUN+="/bin/sh -c 'echo 0 > /sys$devpath/authorized'"
保存退出后，执行 sudo udevadm control --reload-rules && sudo udevadm trigger --subsystem-match=usb 重载并激活规则。
方法二：基于ID通配拦截（兼容性更强）
若上述规则在某些U盘上失效，改用此行替代：
SUBSYSTEM=="usb", ATTR{idVendor}=="*", ATTR{idProduct}=="*", ENV{ID_USB_INTERFACES}=="*:080650:*", RUN+="/bin/sh -c 'echo 0 > /sys$devpath/authorized'"
⚠️ 注意：规则中必须用 $devpath（不是 $DEVPATH），大小写错误会导致规则静默失效，且无报错提示。
通过内核参数全局禁用USB存储支持
这是最底层的封锁方式，从GRUB启动阶段就关闭USB存储子系统的初始化流程，连模块加载机会都不给，绕过所有用户空间干预。
第一步：编辑GRUB配置
sudo nano /etc/default/grub
第二步：找到 GRUB_CMDLINE_LINUX 行，在引号内末尾添加 usb-storage.disable=1，例如：
GRUB_CMDLINE_LINUX="quiet splash usb-storage.disable=1"
第三步：更新GRUB配置
sudo update-grub
第四步：重启系统生效
sudo reboot
重启后执行 cat /proc/cmdline | grep usb-storage，应看到 usb-storage.disable=1 出现在输出中；此时即使手动执行 modprobe usb-storage 也会失败，返回 Operation not permitted。
精准禁用单个USB物理端口
适用于需保留键盘鼠标但封禁前置USB口的办公终端，不影响后置口或其他HID设备，不依赖模块状态，直接操作硬件控制器节点。
插入U盘，执行 dmesg | grep -i 'new device' | tail -1，从输出中提取类似 2-1 的总线-设备编号。
执行 echo 0 | sudo tee /sys/bus/usb/devices/2-1/authorized 禁用该端口。
验证：再将同一U盘插入该端口，系统完全无响应；换插其他端口则照常识别。
如需恢复，执行 echo 1 | sudo tee /sys/bus/usb/devices/2-1/authorized 即可。
BIOS/UEFI层面关闭USB控制器
这是唯一真正物理级隔离的方式，连USB协议栈都未启动，对防泄密要求极高的涉密终端是刚需。
重启进入BIOS/UEFI设置界面（通常按Del、F2或F12），找到 Advanced → USB Configuration 或类似路径。
将 USB Controller、XHCI Mode、EHCI Support 全部设为 Disabled。
保存退出后，系统启动时USB接口完全失能，键盘鼠标也无法使用——【必须提前确认已启用PS/2接口或远程管理功能，否则将无法操作主机】。
