必须阻断系统对可移动存储设备的识别与挂载，否则手动双击仍可访问；组策略法适用于专业/企业版，通过启用“拒绝所有权限”及禁用设备安装限制实现彻底屏蔽；家庭版可用注册表禁用usbstor驱动并补充禁用usbhub3/usbohci；精准屏蔽特定u盘可通过设备管理器禁用或注册表绑定硬件id；powershell命令可临时禁用已识别的usb存储设备。
要防止外部设备（如U盘、移动硬盘）通过USB连接读取电脑中的敏感文件，必须阻断系统对可移动存储类设备的识别与挂载能力，否则即使不自动运行，用户手动双击盘符仍可浏览全部内容。
用组策略彻底拒绝所有可移动存储权限
此方法适用于Windows 10专业版、企业版，从系统策略层直接剥夺U盘等设备的读写、执行、甚至枚举权限，插入后资源管理器里完全不显示盘符。
第一步：按 Win + R 输入 gpedit.msc 并回车，以管理员身份打开本地组策略编辑器。
第二步：左侧依次展开 → 计算机配置 → 管理模板 → 系统 → 可移动存储访问。
第三步：双击右侧“所有可移动存储类：拒绝所有权限”，勾选【已启用】→ 应用 → 确定。
第四步：仍在此窗口，继续展开左侧 → 计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制。
第五步：启用“禁止安装可移动设备”和“禁止安装未由其他策略设置描述的所有设备”这两项——缺一不可，否则某些山寨U盘可能绕过第一道限制。
第六步：关闭编辑器，在命令提示符（管理员）中执行 gpupdate /force，或重启生效。
注册表禁用USBSTOR驱动（家庭版可用）
Windows家庭版没有gpedit.msc，但注册表修改同样有效，且只影响USB存储设备，不影响键盘鼠标等必需外设。
按 Win + R 输入 regedit 回车，以管理员身份运行注册表编辑器。
粘贴路径并回车：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
双击右侧的 Start 值，把数值数据从 3 改为 4，基数保持十六进制。
这一步改完就生效了一半，但别关注册表——很多U盘会伪装成光驱或磁盘阵列，所以你还得顺手禁掉USBHUB3和usbohci，否则可能被绕过。
设备管理器中精准屏蔽某款U盘
当你只想封掉某员工自带的特定U盘，又不想影响其他人使用合规设备时，这个方法最准。
方法一：右键“开始”→“设备管理器”→展开“磁盘驱动器”，找到该U盘名称（如“Kingston DataTraveler 3.0”）→右键→“禁用设备”。
方法二（永久生效）：在设备管理器中右键该U盘→属性→详细信息→属性下拉选“硬件ID”→复制第一行完整ID（例如 USB\VID_0951&PID_1666\6&1A3F3C8B&0&3）→打开注册表，导航至 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{36FC9E60-C465-11CF-8056-444553540000} → 新建项命名为“UpperFilters”→在其下新建子项“0000”→再新建字符串值“DeviceID”，数值数据填入刚才复制的硬件ID。
重启后，哪怕换USB口、换电脑（同系统镜像），只要插上这款U盘，系统连驱动都不加载。
PowerShell一键禁用所有USB存储实例
适合批量部署或临时应急，无需重启，执行后立即生效，但重启后失效（除非配合启动脚本）。
以管理员身份运行PowerShell，粘贴执行：
Get-PnpDevice -Class 'USB' | Where-Object {$_.Name -like '*Mass Storage*' -or $_.Name -like '*UFD*'} | Disable-PnpDevice -Confirm:$false
这条命令会搜索当前已识别的所有USB大容量存储设备（含UFD通用闪存驱动器），直接禁用其PnP实例。注意：它不处理尚未插入的设备，仅作用于当前已枚举出的设备。
