windows组策略禁用usb存储设备可有效阻断u盘拷贝，操作路径为：win+r→gpedit.msc→计算机配置→管理模板→系统→可移动存储访问→启用“所有可移动存储类:拒绝所有权限”，重启后u盘等设备显示“访问被拒绝”且无盘符。
要在电脑系统里设置数据防拷贝，必须针对文件外泄的主要路径——USB设备拷贝、剪贴板复制、拖拽导出、网络外发这四类行为分别设防，仅靠单一设置无法真正阻断拷贝动作。
用Windows组策略禁用USB存储设备
打开“运行”（Win+R），输入 gpedit.msc → 回车进入本地组策略编辑器；
依次展开：计算机配置 → 管理模板 → 系统 → 可移动存储访问；
找到并双击【所有可移动存储类：拒绝所有权限】→ 选择“已启用”→ 点击“确定”；
【此操作会立即禁用U盘、移动硬盘、手机MTP模式识别，但不影响蓝牙、打印机等非存储类USB设备】；
重启电脑后生效，普通用户插入U盘将看到“访问被拒绝”提示，且设备管理器中不会显示盘符。
通过文件夹属性限制复制权限
右键目标文件夹 → “属性” → “安全”选项卡 → 点击“高级”；
在“权限项目”列表中，选中当前登录用户或“Users”组 → 点击“编辑”；
取消勾选“写入”和“修改”，仅保留“读取和执行”“列出文件夹内容”“读取”三项；
点击“确定”保存，系统会提示是否替换子文件夹权限 → 选择“是”；
完成设置后，该文件夹内文件仍可打开查看，但无法复制、剪切、拖拽到桌面或U盘——系统会弹出“你没有权限复制该项目”的错误提示。
使用BitLocker对整个磁盘加密（仅限Windows专业版/企业版）
方法一：图形界面操作
打开“控制面板”→“系统和安全”→“BitLocker驱动器加密”→ 找到需保护的分区（如D:盘）→ 点击“启用BitLocker”；
选择解锁方式（推荐“使用密码解锁驱动器”）→ 设置强密码（至少8位，含大小写字母+数字）→ 备份恢复密钥（必须存到U盘或打印出来，【一旦丢失密钥且忘记密码，数据将永久无法恢复】）→ 开始加密；
方法二：命令行快速启用（管理员身份运行PowerShell）
输入：manage-bde -on D: -recoverypassword → 回车，系统自动生成并显示48位恢复密钥；
加密完成后，该磁盘在未解锁状态下显示为“锁定”图标，双击直接提示输入密码；即使把硬盘拆下装到另一台电脑，也无法绕过密码直接读取文件内容。
关闭剪贴板历史与禁用拖拽导出
第一步：关闭系统剪贴板历史
设置 → 蓝牙和其他设备 → 剪贴板 → 关闭“剪贴板历史记录”和“跨设备同步”；
第二步：禁用资源管理器拖拽功能（需修改注册表）
Win+R → 输入 regedit → 定位到：HKEY_CLASSES_ROOT\Directory\shellex\DragDropHandlers；
右键空白处 → 新建“项”，命名为 {86C86720-42A0-1069-A2E8-08002B30309D}；
无需设置值，新建空项即可。重启资源管理器（任务管理器 → 重启“Windows资源管理器”进程）；
此后，从受保护文件夹中用鼠标左键拖拽文件到桌面、邮件附件区、聊天窗口等位置时，光标会出现红色禁止符号，拖拽动作被系统拦截。
