必须设置bios/uefi管理员密码以锁住启动配置权限，防止篡改启动顺序、关闭secure boot等；需在开机logo出现1～2秒内按对应键（如del/f1/f2/f10）进入界面，切换至security选项卡，设置supervisor password并启用password on boot，再于boot选项卡禁用usb启动、锁定硬盘为首选项、启用secure boot。
要防止他人绕过Windows登录界面、直接用U盘启动并篡改系统或窃取数据，必须在主板固件层设置BIOS/UEFI管理员密码——它能锁住启动配置修改权限，让别人无法调出启动菜单、无法更改启动顺序、也无法关闭Secure Boot等关键防护项。
确认主板支持并进入BIOS/UEFI设置界面
按下电源键后，在品牌Logo刚出现的1～2秒内，快速反复敲击对应键：台式机主板多为Delete，Lenovo ThinkPad是F1，Dell为F2，HP主流机型用F10。若敲击时机过晚，系统已加载Windows引导管理器，就会直接进桌面，此时需重启重试。
成功进入后，界面右下角通常显示“Setup”或“Configuration”，顶部标签栏有Main、Security、Boot等选项卡。注意：部分OEM品牌（如联想消费级笔记本）会隐藏Security选项卡，除非先设置管理员密码，否则根本看不到“Set Supervisor Password”入口——这是故意设计的安全逻辑，不是你操作失误。
设置BIOS/UEFI管理员密码（Supervisor Password）
方法一：通过Security选项卡直接设置
使用方向键切换到Security选项卡 → 找到Set Supervisor Password或Administrator Password → 按回车，输入新密码（建议6～12位，含字母+数字，避免常见词）→ 再次输入确认 → 按F10保存并退出。
方法二：Legacy BIOS中路径略有不同
某些老主板（如AMI BIOS）需先进入Advanced Mode（按F7），再选Security → Password Check → 将其设为Setup → 返回主菜单，再找Supervisor Password设置项。这一步漏掉会导致密码仅在开机时校验，却无法阻止他人进入BIOS修改设置。
【必须启用Password on boot才能真正生效】 设置完密码后，务必检查Password on boot或Boot Password是否设为Enabled。若此项为Disabled，他人仍可跳过密码直接进BIOS——因为该选项控制的是“开机瞬间是否要求输密码”，而非“进BIOS时才要输”。
禁用USB启动并锁定启动顺序
第一步：切换至Boot选项卡 → 找到Boot Mode，将其改为UEFI Only（若原为Legacy或Both）。UEFI模式下USB设备需带有效签名，能天然过滤掉多数自制PE盘。
第二步：在Boot Option #1中，将硬盘（如“Windows Boot Manager”或“ST1000LM024”）拖至首位；确保所有含“USB”、“Removable”、“CD/DVD”的条目都排在硬盘之后。
第三步：找到USB Boot、Legacy USB Support或External Device Boot等类似选项，全部设为Disabled。部分华硕主板还需在Advanced → USB Configuration中关闭XHCI Hand-off，否则USB 3.0设备可能仍被识别。
第四步：启用Secure Boot（设为Enabled），并确认其状态为Standard而非Other OS。这项不依赖密码，但能拦截未签名的U盘引导程序，和管理员密码形成双重防线。
最后按F10 → 选择Yes保存退出。电脑将重启，此时再尝试按F12/Esc调启动菜单，会直接提示“Secure Boot Violation”或“Password Required”，无法进入任何非授权启动项。
