必须从系统底层阻断USB存储设备识别与访问，组策略（专业版/企业版）或注册表禁用USBSTOR驱动（家庭版）是可靠方案，设备管理器禁用仅限临时应急。
要防止他人通过U盘、移动硬盘等USB存储设备拷贝机密文件，必须从系统底层阻断其识别与访问能力，而非简单隐藏盘符或禁用端口——否则键鼠失灵、管理员无法应急恢复、高级用户仍可通过命令行绕过。
用组策略彻底封锁可移动存储（专业版/企业版首选）
这一步适用于Windows 10/11专业版、企业版、教育版，是域环境和单机批量管控的黄金标准。它不碰驱动，只在权限层拦截，插上U盘后系统能识别设备但拒绝加载任何读写功能，键鼠打印机照常工作。
按下Win + R，输入gpedit.msc并回车，打开本地组策略编辑器。
依次展开左侧树形目录：计算机配置 → 管理模板 → 系统 → 可移动存储访问。
在右侧找到并双击【所有可移动存储类：拒绝所有访问】→ 勾选“已启用”→ 点击“确定”。【此操作将同时禁用读取与写入，U盘插入后资源管理器不显示盘符，设备管理器中磁盘驱动器下无对应条目】
按Win + R，输入cmd，右键以管理员身份运行，执行gpupdate /force刷新策略。部分设备需重新插拔U盘或重启资源管理器才能生效。
注册表修改：全版本通用，禁用USBSTOR驱动
家庭版Windows无法使用组策略，此法直接作用于驱动服务，重启后U盘彻底“消失”，连设备管理器里都找不到痕迹，连带SD卡读卡器、USB光驱一并失效，但USB键鼠完全不受影响。
方法一：手动修改
按下Win + R，输入regedit并回车，以管理员身份运行注册表编辑器。
粘贴路径到地址栏：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR，按回车跳转。
双击右侧的Start（类型为DWORD 32位），将“数值数据”由默认的3改为4，基数保持十六进制不变，点击“确定”。【改错成5或删掉该值会导致系统启动异常，务必确认是4】
关闭注册表编辑器，重启电脑。再次插入U盘，设备管理器中“磁盘驱动器”类别下空空如也，资源管理器无新增盘符。
方法二：一键导入.reg文件（适合批量部署）
新建文本文档，粘贴以下内容：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Start"=dword:00000004
保存为disable_usbstor.reg（注意编码选ANSI，后缀必须是.reg），双击运行并确认导入。重启即生效。
设备管理器临时封控（仅限应急或测试）
当你需要立刻让某台电脑上的某个已接入U盘停止响应，又不想重启、也不确定是否具备管理员权限时，这个方法最快——但它只对当前已枚举的设备有效，新插U盘会自动重载驱动，必须配合其他方式固化。
右键“开始”按钮→选择“设备管理器”。
展开“磁盘驱动器”，找到名称含USB Mass Storage Device或USB大容量存储设备的条目（不是“通用串行总线控制器”下的Hub）。
右键该设备→选择“禁用设备”→在弹窗中点“是”。
设备图标立即变灰，拔插无效，但重启后自动恢复。如需长期禁用，必须结合组策略或注册表，否则每次开机都会重新激活。
