usb端口禁用通过将hkey_local_machine\system\currentcontrolset\services\usbstor下的start值设为4，使系统内核跳过usbstor.sys驱动初始化，不生成pdo，设备管理器完全不可见；writeprotect=1则在irp_mj_write请求层拦截写操作，返回status_media_write_protected错误，实现只读；bitlocker以xts-aes 256加密全卷，fvek由vmk保护，vmk依赖tpm/pin/恢复密钥解封，离线挂载仅显示乱码。
你想弄明白电脑数据防拷贝设置背后到底怎么起作用，不是只点几下就完事，而是要清楚每一步修改注册表、启用BitLocker或禁用USB端口时，系统底层究竟拦截了哪个环节、阻断了哪条通路、改变了什么权限判断逻辑。
理解USB设备被“看不见”的注册表原理
Windows识别U盘，本质是加载USBSTOR.sys驱动并启动对应服务。Start值为3表示“手动启动”，为4则强制设为“禁用”——这不是隐藏图标或屏蔽盘符，而是让系统内核彻底跳过该驱动的初始化流程。
按Win + R输入regedit→回车打开注册表编辑器。
依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
找到右侧的Start DWORD值，双击→将数值数据由3改为【4】→确定。
重启后，系统连USBSTOR驱动都不加载，自然不会分配设备对象、不生成PDO（物理设备对象），设备管理器里连“未知设备”都不会出现——这比组策略禁用更底层，也更难绕过。
搞懂写保护模式为何U盘变只读
WriteProtect设为1，并非修改U盘固件，而是让Windows存储栈在IRP_MJ_WRITE请求到达磁盘驱动前就直接返回STATUS_MEDIA_WRITE_PROTECTED错误。所有写操作（复制文件、粘贴、格式化）都在系统调用层被掐断，U盘本身仍可读、仍能运行程序（如autorun.inf）、仍能被识别为USB设备。
定位到：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies。
若该路径不存在，右键Control→新建→项→命名为StorageDevicePolicies。
选中StorageDevicePolicies→右键→新建→DWORD (32位)值→命名为WriteProtect。
双击WriteProtect→数值数据填【1】→确定。
拔插U盘立即生效，无需重启；解除时只需把1改回0——但注意：该设置对所有U盘统一生效，包括你自己的工作盘。
看透BitLocker加密如何阻止离线读取
BitLocker不加密单个文件，而是对整个卷的NTFS元数据+用户数据做全盘XTS-AES 256位加密。解密密钥（Full Volume Encryption Key, FVEK）本身被另一个密钥（Volume Master Key, VMK）加密保护；VMK又由TPM芯片、启动密钥或恢复密码进一步封装。没有正确解锁链，硬盘即使接到另一台电脑，也只能看到随机乱码区块。
右键目标磁盘（如C盘）→选择“启用BitLocker”。
务必勾选“将恢复密钥保存到Microsoft账户”或“另存为文件”——【漏掉这步，忘记密码=永久丢失数据】。
选择加密模式：勾选“新加密模式”和“XTS-AES 256位”→点击“开始加密”。
首次加密过程不可中断，需保持电源连接与系统唤醒状态；完成后，每次开机都必须通过TPM验证、PIN输入或USB密钥解锁才能挂载卷。
