禁用u盘需分三步：注册表禁usbstor驱动（改start为4），组策略全面封可移动存储权限（专业版适用），设备管理器临时禁用已识别u盘。
当你需要防止员工或他人通过U盘从Win10电脑复制敏感资料，或阻止未知U盘带入病毒时，必须让系统在插入瞬间就拒绝识别、不分配盘符、不弹出自动播放窗口——不是等它出现后再删盘符，而是让它根本“看不见”。
注册表禁用USBSTOR驱动（最基础且通用）
这一步直接切断U盘类设备的底层驱动加载能力，家庭版也能用，不影响键盘鼠标。
按下Win + R，输入regedit并回车，以管理员身份运行注册表编辑器。
在地址栏粘贴路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR，按回车跳转。
双击右侧的Start项，把“数值数据”从默认的3改为4，【基数必须保持十六进制】，点确定。
关闭注册表编辑器，重启电脑。重启后插入U盘，资源管理器和磁盘管理里都不会出现任何反应。
组策略封死可移动存储权限（专业版/企业版推荐）
仅靠注册表只能拦住U盘，但有人可能换SD卡读卡器、手机MTP模式绕过。组策略能从系统权限层全面拦截所有可移动介质的读写行为。
按下Win + R，输入gpedit.msc回车，打开本地组策略编辑器。
依次展开：计算机配置 → 管理模板 → 系统 → 可移动存储访问。
第一步：双击“所有可移动存储类：拒绝所有权限”，设为已启用→应用→确定。
第二步：返回左侧树状目录，继续展开：计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制。
启用“禁止安装可移动设备”和“禁止安装未由其他策略设置描述的所有设备”这两项，确保没有漏网之鱼。
关闭组策略编辑器，在CMD中以管理员身份运行gpupdate /force，立即生效，无需重启。
设备管理器临时禁用已识别U盘（应急单台封控）
适用于你已经看见U盘出现在“磁盘驱动器”列表里，但不想重启、只想立刻让它失效的场景。
右键开始按钮→设备管理器→展开“磁盘驱动器”。
找到名称含“USB Mass Storage Device”或品牌名（如SanDisk、Kingston）的条目，右键→禁用设备。
此时该U盘图标会变灰，资源管理器立即消失对应盘符，拔插也不会恢复——除非你手动启用。
注意：这个操作只对当前已枚举的设备有效，新插的U盘仍会被识别，需配合前两种方法使用。
