二、根因分层诊断从启动入口到固件交互 启动模式错位 CSMCompatibility Support Module启用时即使 Secure Boot 开启系统仍以 Legacy BIOS 兼容方式初始化绕过 UEFI 安全启动校验 磁盘分区结构不兼容 MBR 分区表无法承载 EFI 系统分区ESP导致 bootmgfw.efi 无法被 UEFI 固件加载 ESP 内容异常 ESP 分区缺失、格式错误非 FAT32、权限受限或关键文件如 \EFI\Microsoft\Boot\bootmgfw.efi签名被破坏/替换如被第三方引导器覆盖 启动管理器劫持 BCDBoot Configuration Data中误指向 winload.exeLegacy而非 winload.efiUEFI或 bcdedit /enum firmware 显示 path: \Windows\system32\winload.exe 固件驱动未加载 内核未加载 efi.sys 或 winload.efi 被篡改签名哈希不匹配触发 UEFI 拒绝加载回退至非安全路径， 三、实证工具链跨层级验证矩阵验证层级命令/工具预期输出Secure Boot 正常异常信号 Firmware sudo fwupdmgr securityLinux或 UEFI Shelldumpnvram -v | grep SecureBoot SecureBoot: enabled disabled 或无输出 Boot Environment bcdedit /enum firmware path: \Windows\system32\winload.efi device: partitionC:C: 为 ESP 所在卷 winload.exe 或 device: unknown Disk Layout diskpart → list disk → select disk X → detail disk GPT 标记存在且有 System 类型分区ESP MBR 或无 System 分区 四、深度修复路径按优先级执行 禁用 CSMLegacy Boot并保存退出 BIOS —— 必须重启生效 使用 diskpart 验证磁盘为 GPT若为 MBR需备份后执行 gpt convert推荐使用 mbr2gpt /validate /allowFullOS 在 Windows PE 下转换 挂载 ESP通常为 S:并检查dir S:\EFI\Microsoft\Boot\ /s确认 bootmgfw.efi 存在且大小 ≥ 1.2 MB 运行 signtool verify /pa S:\EFI\Microsoft\Boot\bootmgfw.efi需 Windows SDK验证 Microsoft 签名有效性 重建 BCDbootrec /rebuildbcd bcdboot C:\Windows /s S: /f UEFIC: 为系统盘S: 为 ESP 强制刷新 Secure Boot 策略Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\State -Name UEFISecureBootEnabled -Value 1 -Type DWord仅注册表同步非实际启用。
对您是否有帮助呢? 本回答被题主和专家选为最佳回答 。
Ctrl+Enter发表内容 ， 对您是否有帮助呢? 本回答被专家选为最佳回答 ， 对您是否有帮助呢? 解决 无用 评论 打赏 微信扫一扫 点击复制链接 分享 举报 评论 按下Enter换行。
本回答被题主选为最佳回答 ，该状态由内核通过 EFI_BOOT_SERVICES 接口向固件查询获得若启动路径未真正走 UEFI 安全验证流程则返回值恒为 False， 五、自动化诊断流程图Mermaidflowchart TD A[Secure Boot UI 显示 Enabled] -- B{bcdedit /enum firmware 含 winload.efi?} B --|否| C[启用 CSM 或 BCD 错误 → 禁用 CSM 重建 BCD] B --|是| D{diskpart list disk 磁盘为 GPT?} D --|否| E[MBR → mbr2gpt /convert] D --|是| F{ESP 是否可访问 bootmgfw.efi 签名有效?} F --|否| G[修复 ESP 或恢复官方 bootmgfw.efi] F --|是| H[Confirm-SecureBootUEFI → True]六、高阶注意事项面向 5 年从业者 某些 OEM如 Dell OptiPlex 7080存在 Secure Boot “软启用” BugBIOS 显示 Enabled但 NV RAM 中 SetupMode0x01Setup Mode未清除需执行 Reset to Setup Mode 后重新 enroll keys Hyper-V 第二代虚拟机默认启用 Secure Boot但若启用了 EnableVirtualizationBasedSecurity可能因 HVCI 与 Secure Boot 策略冲突导致 Confirm-SecureBootUEFI 返回 False —— 需检查 Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard Windows 11 22H2 引入 UEFISecureBootPlatformPolicy 注册表项HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot\PlatformPolicy值为 0x00000001 表示平台策略已激活影响内核对固件状态的解释逻辑 部分主板ASUS ROG在更新 BIOS 后自动重置 Secure Boot Keys 为 Setup Mode需手动进入 Key Management → Restore Factory Keys 企业环境中若部署了自定义签名密钥DBX 更新需确保 bootmgfw.efi 未被 DBX 黑名单拦截 —— 可通过 efibootmgr -vLinux或 UEFI Shell certutil -v -dump dbx 查看吊销列表。
关注 码龄 粉丝数 原力等级 -- 被采纳 被点赞 采纳率 高级鱼 2026-05-04 17:33 关注 html一、现象确认Windows 层面 Secure Boot 状态“假关闭” 当 BIOS/UEFI 设置中明确显示 Secure Boot: EnabledKey Management Default 或 Microsoft但 msinfo32 显示“安全启动关闭”或 PowerShell 执行 Confirm-SecureBootUEFI 返回 False这并非必然表示 Secure Boot 失效——而是 Windows 未在当前启动会话中成功建立 UEFI 安全启动信任链，。