真正改变 Windows 行为的 UEFI 设置

核验于 2026-10-293 分钟阅读

安全启动、fTPM、CSM、Resizable BAR 与 IOMMU：每个开关对 Windows 做了什么，以及按什么顺序改。

测试环境Pro (26H2) / Server · 版本号 26300.9457 / 26100.33650 · x64

版本号: 26300.9457 / 26100.33650
版本: Pro (26H2) / Server
架构: x64
支持: 文档（E1）
证据: E1官方文档
核验日期: 2026-10-29
页面类型: 任务

一句话结论

五个固件开关改变 Windows 能做什么。按这个顺序设，因为有些依赖前面的：

启动模式：UEFI，关闭 CSM——没有它，后面都不成立。
启用 fTPM/PTT——给你 TPM 2.0。
启用安全启动——Windows 11 要求，并提升启动完整性。
启用 IOMMU（VT-d/AMD-Vi）——设备直通与 DMA 保护需要。
Resizable BAR——显卡性能特性，可选。

其余（风扇曲线、内存配置、CPU 限制）是调优；这五项是能力。

每一项实际做什么

设置	对 Windows 的影响	设错的后果
UEFI + 关 CSM	启用安全启动、GPT 启动、VBS	Windows 11 拒绝安装；BitLocker 更弱
fTPM/PTT	为 BitLocker、Hello、Credential Guard 提供 TPM 2.0	安装提示“找不到 TPM”；设备加密不可用
安全启动	只允许签名的引导链	Windows 11 不受支持；部分反作弊/VBS 功能受限
IOMMU	DMA 重映射、设备隔离	虚拟机直通失败；DMA 攻击面更大
Resizable BAR	显卡可暴露完整显存窗口	部分游戏小幅性能损失

在 Windows 内核对

Confirm-SecureBootUEFI
Get-Tpm | Select-Object TpmPresent,TpmReady,TpmEnabled,ManufacturerIdTxt
$env:firmware_type
Get-Disk | Select-Object Number,PartitionStyle

Confirm-SecureBootUEFI 报“不支持”，通常说明系统是 legacy/CSM 启动的。
$env:firmware_type 返回 UEFI 或 Legacy。
现代安装下 PartitionStyle 应为 GPT。

安全启动：模式与密钥

setup mode 下的安全启动没有登记平台密钥（PK）；Windows 仍能安装，固件可能在首次启动时登记，也可能留给你。

标准/自定义模式 + 微软密钥——消费级常见状态。
自定义密钥——Linux 双系统或自签名引导器。
禁用——Windows 11 不受支持；部分驱动拒绝加载。

改变安全启动状态会让 BitLocker 的度量启动失效并触发恢复提示。改固件前先挂起 BitLocker：

Suspend-BitLocker -MountPoint C: -RebootCount 1

双系统与 Linux

保持安全启动开启，用支持它的发行版（多数都支持），或登记自己的密钥。
关闭固件里的快速启动——它会让另一个系统的启动项不可靠。
Windows Update 会重排启动顺序；另一个系统“消失”时，先看固件启动项再谈修复。

服务器：开关更少，后果一样

Windows Server 不要求 TPM/安全启动，但：

VBS/Credential Guard 需要虚拟化 + IOMMU；
服务器上 BitLocker 很常见——规划 TPM 所有权与恢复密钥托管；
固件更新可能重置这些设置；更新前记录当前状态。

安全的修改流程

记录当前设置（拍下屏幕）。
开了 BitLocker 就先挂起。
一次只改一项，保存，启动。
用上面的命令在 Windows 内核对。
恢复 BitLocker，确认保护状态。
起不来就清 CMOS，回到之前的状态。

实验室边界

E1。开关及其 Windows 影响有微软与固件厂商文档依据。实验室虚拟用 OVMF + vTPM，验证了同样的要求，但没有物理固件界面。