最有效方法是组策略启用“可移动磁盘：拒绝写入权限”，保留读取功能但禁止复制、粘贴、格式化等所有写入操作；高安全场景可修改注册表将usbstor的start值设为4，彻底屏蔽设备识别。
要防止他人通过移动硬盘从你的电脑复制敏感文件，必须在系统底层切断写入通路或限制设备识别能力，不能只靠文件隐藏或权限设置。
用组策略禁止所有可移动存储设备写入
这方法保留移动硬盘读取功能（你能打开看资料），但彻底禁用复制、粘贴、格式化等写入操作，适合办公场景日常防护。
1、按 Win + R 输入 gpedit.msc → 回车打开本地组策略编辑器；
2、左侧依次展开：计算机配置 → 管理模板 → 系统 → 可移动存储访问；
3、右侧双击【可移动磁盘：拒绝写入权限】→ 选“已启用”→ 点击“确定”；
4、以管理员身份运行命令提示符，输入 gpupdate /force 并回车刷新策略；
重启后插入移动硬盘，资源管理器能识别盘符、可双击打开查看文件，但拖入文件会提示“拒绝访问”，右键菜单中“复制”“发送到”等选项变灰不可用。此策略不影响键盘、鼠标等非存储类USB设备。
注册表禁用USBSTOR服务（完全屏蔽识别）
该方法让系统彻底“看不见”任何U盘和移动硬盘，连盘符都不出现，适合高安全要求环境，但会同时禁用所有USB存储设备。
方法一：手动修改注册表
1、按 Win + R 输入 regedit → 回车；
2、导航至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR；
3、右侧双击 Start → 将数值数据由默认的 3 改为 4 → 点击“确定”；
【修改前务必导出该键值备份，误改可能导致USB设备永久失效】
4、重启电脑，再插入移动硬盘，设备管理器中无新设备提示，资源管理器不显示盘符，任务栏通知区域也无USB弹出提示。
方法二：一键批处理恢复（备用）
新建文本文档，粘贴以下内容并另存为 enable_usb.bat（编码选ANSI）：
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR" /v Start /t REG_DWORD /d 3 /f & pause
需要临时启用时，右键以管理员身份运行该文件即可还原。
第三方工具实现细粒度控制
如果你既要阻止拷贝，又想保留部分U盘/移动硬盘的读取权限，还希望对特定文件夹单独加锁，推荐使用磁盘加锁专家这类工具。
1、安装后首次运行需输入管理员密码（默认为 888888）；
2、点击“USB控制”→ 勾选【只读使用USB存储设备（只能只读访问，不能写入数据）】；
3、切换到“文件加锁”→ 点击“浏览”选中你存放机密资料的文件夹→ 点击“加锁”；
加锁后的文件夹在资源管理器中仍可见，但双击提示“拒绝访问”，无法复制、剪切、删除，也无法被移动硬盘批量拖走；即使对方格式化移动硬盘，这些文件也不会被读取出来。
