Secure Boot 到底做了什么——以及它在 2025 年仍然重要的原因

在 Windows 尚不存在时就上岗的守门人

Secure Boot 住在 UEFI 固件里，像拿着宾客名单的门卫一样工作。固件存有证书数据库——装着受信任签名密钥的 db 和显式吊销名单 dbx——引导链的每个环节，从 Windows 引导管理器开始，都要先通过签名比对才被允许执行。未签名或已吊销的代码，在 Windows 第一颗像素出现之前就被拒之门外。

这很重要，因为引导链是杀毒软件唯一守不住的地方。bootkit 先于系统、先于 Defender、先于任何驱动加载，引导加载程序一旦沦陷，后面的一切都是恶意软件的天下。Windows 11 把 Secure Boot 设为必选是有道理的，而且这个功能运行时零成本：签名校验只给本就十秒的启动加几毫秒。

拦截 bootkit——引导链是杀毒软件够不到的唯一恶意软件地盘
没有性能代价：校验每次启动只做一次，毫秒级
检查的是代码签名，不是你的活动——它不是监控，自己也不会向任何地方回传
与 BitLocker 协作：measured boot 日志供 Windows 自己的防篡改检查使用
阻止回滚攻击——又旧又带漏洞的已签名引导加载程序可经 dbx 更新吊销
运行中的 Windows 内的恶意软件关不掉它——设置在固件里，不在磁盘上

查看你自己的状态——还有 BitLocker 陷阱

按 Win+R，运行 msinfo32，找两行字：BIOS 模式应显示 UEFI，安全启动状态应显示“开启”。在传统 CSM 模式的机器上根本不存在 Secure Boot——仅这一点就足以成为用 mbr2gpt 把磁盘从 MBR 转成 GPT、迁入现代引导流程的理由(如果硬件支持)。转换不到一小时，还能解锁 BitLocker 和 Windows 11 升级资格这类依赖 TPM 的功能。

碰开关之前有一句警告：如果 BitLocker 正在加密磁盘，关闭 Secure Boot 会改变度量启动状态，下次开机就会索要 48 位恢复密钥。请先从 aka.ms/myrecoverykey 或 Microsoft 账户页面把它存好。乱动 TPM 设置——AMD 的 fTPM 或 Intel 的 PTT——同样要小心。

少数确实该关掉它的场景

禁用 Secure Boot 的正当理由稀少但真实：option ROM 老早于 UEFI 签名时代的古董显卡、一些 Windows 10 时代的采集卡、或者跑着无人签名自制内核的小众 Linux 环境。主流发行版开着 Secure Boot 照样引导无恙，因为它们的 shim 引导加载程序由 Microsoft 签名。其余那些人云亦云的理由——风扇控制、启动加速、老游戏——都是都市传说。

不正当的是把它当成启动慢、更新报错或莫名不稳定的药方——这些没一个是 Secure Boot 造成的，而互联网逢事便推荐关它的习惯，正是人们落得电脑无法开机、恢复密钥遗失下场的原因。如果某厂商支持页让你关掉它来装工具，请追问到底是什么没过签名校验。有时诚实的答案是安装程序本身。