禁用usb存储设备可彻底阻止数据拷贝：通过组策略启用“所有可移动存储类：拒绝所有权限”，使u盘等不显示盘符、无法识别；家庭版需升级专业版；若需保留读取功能，可单独启用“可移动磁盘：拒绝写入权限”。
禁用USB存储设备防止数据被拷走
你的电脑放在办公室或共享环境中，别人一插U盘就能复制敏感文件，这种风险必须立刻堵住——Windows自带策略能直接让所有U盘、移动硬盘、读卡器在插入时无法识别为存储设备，连盘符都不显示，彻底断掉物理拷贝路径。
第一步：按 Win+R 输入 gpedit.msc 回车，打开本地组策略编辑器。注意：家庭版系统不带这个工具，需先升级到专业版或企业版，否则后续步骤全部无效。
第二步：依次展开左侧树状菜单 → 计算机配置 → 管理模板 → 系统 → 可移动存储访问 → 双击打开【所有可移动存储类：拒绝所有权限】 → 勾选【已启用】 → 点击确定。
这一步生效后，任何U盘插入都会在设备管理器里显示为“未知设备”，资源管理器中不出现盘符，连格式化选项都不可见。但注意：该策略不影响键盘、鼠标、打印机等USB外设，只针对存储类设备。
仅禁用写入权限保留读取功能
如果你需要允许同事从U盘读取资料（比如共享会议材料），但坚决不允许他们往你电脑里存文件或复制走本地文档，就用这个更精细的控制方案。
方法一：在同一个组策略路径下（计算机配置 → 管理模板 → 系统 → 可移动存储访问），双击【可移动磁盘：拒绝写入权限】→ 启用它 → 确定。
方法二：同时启用【可移动磁盘：拒绝读取权限】可反向锁定——但一般不用，因为会阻断你自己的正常读取需求。
【关键提醒】这两项策略必须一起启用才能真正防拷贝：只禁写入，对方仍可用命令行或第三方工具绕过；只禁读取，则你自己也无法查看U盘内容。实际场景中，绝大多数人只需启用“拒绝写入权限”即可满足日常防护需求。
彻底关闭USB端口（物理级封锁）
当电脑长期固定在工位、绝对不允许任何USB设备接入时，最后一道防线就是直接关掉USB控制器——连供电都切断，U盘插上毫无反应，连设备管理器里都看不到USB根集线器。
① 右键“此电脑”→“管理”→“设备管理器”→ 展开“通用串行总线控制器”
② 找到所有带“Root Hub”字样的条目（通常有3～5个），逐个右键 → “禁用设备”
③ 禁用完成后，拔插任意USB设备均无响应，任务栏右下角也不再弹出“USB设备已插入”提示
这一步操作不可逆，除非你记得手动重新启用每个Root Hub。如果误禁导致键盘鼠标失灵，只能强制长按电源键关机，再开机进安全模式恢复。所以建议只在完全隔离的专用终端上使用。
