必须主板支持UEFI安全启动+TPM 2.0，通过UEFI中启用TPM、清除并导入USB密钥公钥、切换为Custom模式，再结合BitLocker绑定启动密钥，实现仅识别特定USB钥匙的开机验证。
要让电脑只认特定USB钥匙才能完成开机验证，必须绕过常规Windows登录流程，在固件层实现硬件级绑定——这需要主板支持UEFI安全启动+TPM 2.0，并配合专用USB密钥（如YubiKey 5系列或OnlyKey）与厂商定制固件协同工作。
确认硬件与固件基础条件
进入UEFI设置界面（开机时反复按Del/F2），切换到Security选项卡→检查是否启用“Secure Boot”和“TPM Device”；若无TPM选项或显示“Not Present”，说明主板不支持该功能，此方案不可行。
插入USB密钥后，在Windows中按Win+R输入tpm.msc→查看状态是否为“已准备好使用”且版本为2.0；【若版本低于2.0或状态异常，后续所有步骤将无法生效】。
访问USB密钥官网（如Yubico.com），下载对应型号的YubiKey Manager工具并安装，确保设备能被识别为FIDO2/PIV双模密钥。
在UEFI中配置USB密钥为启动认证源
第一步：重启进入UEFI→Advanced→Trusted Computing→启用“Intel PTT”或“AMD fTPM”并设为Enabled。
第二步：Security→Secure Boot→点击“Clear Secure Boot Keys”清除当前密钥（此操作不可逆，需提前备份原有签名）。
第三步：返回Security主菜单→找到“Platform Key Management”或“PK Enrollment”→选择“Enroll from USB Device”→系统会自动扫描插入的USB密钥并读取其内置的公钥证书。
第四步：确认导入成功后，将Secure Boot模式从“Standard”切换为“Custom Mode”，保存退出。此时主板仅信任该USB密钥签署的启动项。
绑定USB密钥与Windows BitLocker启动验证
以管理员身份运行PowerShell→执行命令：Enable-BitLocker C: -EncryptionMethod Aes256 -TpmAndPinProtector -StartupKeyPath E:（假设USB密钥盘符为E:）。
系统会提示插入USB密钥并自动生成启动密钥文件（VolumeHeader-*.bin）写入其根目录；【该文件不可复制、不可导出，仅在此物理U盘上有效】。
执行manage-bde -protectors -add C: -StartupKey E:，强制要求每次开机前必须插入此U盘才能解密系统卷。
最后运行shutdown /r /t 0立即重启，拔掉其他所有USB设备，仅保留该密钥——若未插入，系统将在POST阶段直接报错“Secure Boot Violation”并停机。
