以下从系统层、硬件层、物理层提供可直接落地的禁用方案，覆盖不同 Windows 版本与安全强度需求，优先选用不影响键鼠的精准管控方式。
当然，最简单的方法还是部署专门的电脑U口禁用软件、屏蔽USB接口的软件。例如"大势至电脑文件防泄密系统"，只需要在电脑部署之后，就可以完全禁用U盘、移动硬盘等USB存储设备，同时还可以禁止网盘、禁止邮件附件外发文件、禁止网盘上传电脑文件等，全面保护电脑文件安全，防止通过各种途径泄密的行为。如下图：
图：大势至电脑文件防泄密系统
一、系统层精准管控（推荐，不影响键鼠）
1. 组策略（Windows 专业 / 企业 / 教育版，仅禁存储）
适合批量管控，仅限制 USB 存储类设备，不影响鼠标、键盘、加密狗等非存储 USB 设备。
-
按
Win+R，输入gpedit.msc打开本地组策略编辑器。 -
依次展开：计算机配置 → 管理模板 → 系统 → 可移动存储访问。
-
双击所有可移动存储类：拒绝所有权限，选择已启用，点击「应用」→「确定」。
-
执行
gpupdate /force命令立即生效，重启电脑巩固效果。
- 恢复：将策略设为「未配置」或「已禁用」，再次执行
gpupdate /force。
2. 注册表（全 Windows 版本通用，家庭版首选）
修改 USB 存储驱动启动项，彻底屏蔽 USB 存储设备，不影响非存储 USB 设备。
-
以管理员身份运行
regedit打开注册表编辑器。 -
定位路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。 -
双击右侧
Start（DWORD 值），将数值改为4（禁用），点击「确定」。 -
重启电脑，USB 存储设备将无法被识别和读写。
-
恢复：将
Start值改回3（自动），重启电脑。 -
批量部署：导出含
Start=4的.reg 文件，可分发给多台电脑执行。
3. 设备管理器（临时禁用，易恢复）
适合临时限制，适合个人或临时场景。
-
右键「开始」→「设备管理器」，展开「通用串行总线控制器」。
-
右键USB Root Hub（USB 根集线器）或USB 大容量存储设备，选择「禁用设备」，确认弹窗点击「是」。
-
恢复：右键禁用的设备，选择「启用设备」即可。
-
注意：禁用根集线器会影响所有 USB 端口，可能导致键鼠失效，需提前准备 PS/2 键鼠备用。
二、硬件层彻底禁用（全端口封锁，重装有效）
BIOS/UEFI 禁用（从底层阻断，重装系统不失效）
适用于安全要求极高场景，可禁用所有 USB 端口（含存储与非存储）。
-
重启电脑，开机时按对应按键进入 BIOS（常见：Del、F2、F10，品牌不同按键不同）。
-
找到 USB 设置项（路径通常为：Advanced/Integrated Peripherals → USB Configuration）。
-
将USB Controller或USB Ports设为Disabled（禁用）。
-
按
F10保存设置并退出，电脑重启后生效。
-
恢复：重新进入 BIOS，将选项改回Enabled（启用），保存退出。
-
注意：禁用后所有 USB 设备均失效，需提前确认非存储 USB 设备（如键鼠）也无法使用，否则需保留 PS/2 接口。
三、物理层硬封锁（极端场景，不可逆 / 难恢复）
1. USB 端口物理锁
插入专用 USB 锁，无钥匙无法拔出，从物理层面阻断 USB 设备插入，可逆且不损坏硬件。
2. 机箱 / 接口封堵
用带锁机箱固定主机，或用强力胶封住 USB 接口（后期可刮除恢复），适合高安全等级环境。
3. 主板 USB 针脚断开（不推荐，不可逆）
打开机箱，断开主板上 USB 扩展针脚排线，彻底禁用前置 USB 端口，适合报废电脑或极端安全需求。
四、关键注意事项
-
权限要求：组策略、注册表、BIOS 修改均需管理员权限，普通用户无法完成。
-
影响范围：
-
仅禁存储：组策略、注册表（不影响键鼠、打印机等非存储设备）。
-
全端口禁用：BIOS、设备管理器（含键鼠，需提前准备备用输入设备）。
-
-
恢复便捷性：
-
组策略、注册表、设备管理器：恢复简单，反向操作即可。
-
BIOS：需进入 BIOS 开启对应选项。
-
物理封锁：USB 锁可逆，胶封 / 针脚断开不可逆，恢复成本高。
-
-
安全建议：企业场景优先结合域控策略批量部署，同时限制普通用户的管理员权限，防止绕过策略恢复。