必须从硬件底层切断usb控制器功能才能彻底阻止usb设备传输数据，bios/uefi中永久关闭usb控制器是唯一物理级方法，禁用后所有usb接口失效且重启即生效。
要彻底阻止U盘、移动硬盘、手机存储卡甚至蓝牙外设通过USB通道传输数据，必须从硬件底层切断USB控制器功能，否则仅禁用驱动或策略仍可能被绕过。
BIOS/UEFI中永久关闭USB控制器
这是唯一能同时禁用所有USB接口（包括USB 1.1、2.0、3.0及后续版本）的物理级方法，重启后立即生效且不受操作系统干扰。
第一步：关机后按下电源键，看到品牌Logo时立刻连按Delete键（部分机型为F2、F10或Esc，具体以开机画面右下角提示为准）→进入BIOS/UEFI设置界面。
第二步：使用方向键切换到Devices或Advanced标签页→找到USB Configuration或Integrated Peripherals子菜单→按回车进入。
第三步：依次定位并修改以下三项：【USB 1.1 Controller】、【USB 2.0 Controller】、【XHCI Hand-off / USB 3.0 Support】，全部设为Disabled。
第四步：按F10保存设置并退出，系统自动重启。此后插入任何USB设备均无反应，设备管理器中“通用串行总线控制器”下将不显示任何USB Root Hub条目。
设备管理器中禁用USB主控制器（临时应急）
适用于无法进入BIOS或需快速测试效果的场景，但仅对当前系统生效，重装系统或驱动更新后可能恢复。
右键“此电脑”→“管理”→“设备管理器”→展开“系统设备”→找到含“USB Root Hub”或“eXtensible Host Controller”字样的设备→右键选择“禁用设备”。
注意：必须禁用所有Root Hub实例，包括标有“Virtual”“Generic”“PCI”等后缀的条目，漏掉任意一个都可能导致U盘仍可识别。
这一步操作起来很简单，直接在设备管理器里勾选禁用就行，但禁用后USB鼠标和键盘也会失灵，务必提前准备PS/2接口外设或远程控制手段。
注册表强制卸载USBSTOR驱动（精准屏蔽存储类）
该方法专攻USB存储设备，不影响USB鼠标、键盘、打印机等非存储类设备，适合需要保留基础外设功能的办公环境。
方法一：手动修改
Win+R输入regedit→导航至HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR→双击右侧Start项→将数值数据改为4→关闭注册表编辑器→重启电脑。
方法二：一键脚本（推荐）
新建文本文档，粘贴以下内容：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Start"=dword:00000004
保存为usb_disable.reg→双击运行→重启生效。
【重要前提】操作前必须以管理员身份运行注册表编辑器，普通用户权限无法写入该路径。
组策略批量封禁可移动存储（域环境首选）
适用于已加入域的企业内网，支持全网终端统一管控，且可按OU分组差异化策略。
① Win+R输入gpedit.msc→打开本地组策略编辑器；
② 依次展开：计算机配置→管理模板→系统→可移动存储访问；
③ 双击“所有可移动存储类：拒绝所有访问”→勾选“已启用”→确定；
④ 同样方式启用“可移动磁盘：拒绝读取权限”和“可移动磁盘：拒绝写入权限”；
⑤ 命令提示符中执行gpupdate /force刷新策略，无需重启即可拦截新插入的U盘。
该策略会立即阻止资源管理器显示盘符，但部分老旧软件可能仍能通过底层API访问设备，如需绝对安全，须配合USBSTOR注册表禁用。
