核心是阻止USBSTOR驱动加载和可移动存储权限分配：1.组策略禁用“所有可移动存储类：拒绝所有权限”（专业/企业版）；2.注册表将USBSTOR的Start值设为4（全版本）；3.叠加设备安装限制与硬件ID白名单。
windows 系统中禁止 usb 存储设备，核心是阻止 usbstor 驱动加载和可移动存储类设备的权限分配。这不是简单“关掉某个端口”，而是从驱动服务、策略控制、设备安装三个层面协同拦截。以下方法按推荐顺序排列，兼顾有效性、兼容性与日常可用性。
用组策略禁用可移动存储（专业/企业/教育版首选）
这是最安全、最常用的方式，只影响U盘、移动硬盘、SD卡读卡器等存储类设备，不影响键盘、鼠标、打印机等其他USB外设：
- 按 Win + R，输入
gpedit.msc回车打开本地组策略编辑器 - 依次展开：计算机配置 → 管理模板 → 系统 → 可移动存储访问
- 双击右侧“所有可移动存储类：拒绝所有权限”，设为“已启用”
- 打开命令提示符（管理员），运行
gpupdate /force刷新策略，多数情况无需重启即生效
修改注册表禁用USBSTOR服务（全版本通用，含家庭版）
直接切断系统识别USB存储设备的能力，重启后生效，对U盘、移动硬盘、加密狗等均有效，但不干扰键鼠：
- 按 Win + R，输入
regedit回车，以管理员身份打开注册表编辑器 - 定位到路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR - 双击右侧的 Start（DWORD 32位），将数值数据改为 4（禁用）
- 关闭编辑器，重启电脑 —— 此时插入U盘将完全无反应，设备管理器里也不会出现新设备
组合加固：限制设备安装 + 白名单放行（防绕过、保刚需）
单靠上述任一方法可能被高级用户绕过（如预装驱动或旧设备残留）。建议叠加设备安装限制，并明确允许必需设备：
- 在组策略中进入：计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制
- 启用“禁止安装可移动设备”和“禁止安装未由其他策略设置描述的所有设备”
- 同时启用“允许安装与下列设备ID相匹配的设备”，点击“显示”，添加你信任的硬件ID（如键盘、加密U盘）
- 硬件ID可在设备管理器中右键设备→属性→详细信息→下拉选“硬件ID”复制，例如：
USB\VID_046D&PID_C52B
临时应急：设备管理器禁用USB Root Hub（慎用）
适合单机快速测试或短期隔离，但稳定性差，重启后可能恢复，且操作不当会影响所有USB功能：
- 按 Win + X → “设备管理器”
- 展开“通用串行总线控制器”，找到带“Root Hub”的条目（如 USB 3.0 Root Hub）
- 右键→“禁用设备”，确认后该Hub下所有连接设备将失联
- 注意：禁用全部Root Hub可能导致键鼠失效，务必保留至少一个可用
