联想如何关闭安全启动？

Question

如何在联想笔记本上关闭安全启动（Secure Boot）？进入UEFI BIOS后，切换至“Security”或“Boot”选项卡，找到“Secure Boot”并设为“Disabled”。部分机型需先设置管理员密码，且关闭安全启动前需确认操作系统支持传统启动模式，否则可能导致系统无法启动。不同型号如联想小新、拯救者等界面略有差异，建议提前备份数据并谨慎操作。

Answer 1

一、安全启动（Secure Boot）基础概念解析

安全启动（Secure Boot）是UEFI固件中的一项安全功能，旨在防止未经授权或未签名的操作系统加载器在启动过程中运行。它通过验证启动项的数字签名来确保只有受信任的操作系统可以启动。

在联想笔记本中，该功能默认开启，尤其在预装Windows 10/11系统的设备上更为普遍。关闭Secure Boot通常是为了支持以下场景：

• 安装Linux发行版（尤其是自定义内核）
• 使用Legacy BIOS兼容模式启动旧系统
• 调试或开发环境中的引导程序测试
• 运行未经微软认证的第三方操作系统

然而，关闭此功能将降低系统安全性，可能使设备暴露于恶意引导程序（如rootkit）的风险之下。

二、进入UEFI BIOS的方法与型号差异分析

不同联想笔记本型号进入BIOS的方式略有不同，常见方式如下表所示：

机型系列	进入BIOS快捷键	是否支持快速启动跳转
联想小新Air/Pro系列	F2 或 F12	是（Shift + 重启）
拯救者Y系列（如Y7000/P）	F2	是
ThinkPad 系列	F1	是
IdeaPad Flex/翻转本	F2	部分支持
Legion Slim系列	F2	是

建议操作前断开外接设备，避免干扰启动流程。若无法进入BIOS，可尝试在Windows中通过“高级启动选项”进入UEFI设置界面。

三、关闭Secure Boot的具体操作步骤

1. 重启联想笔记本，在开机LOGO出现时连续按下F2键（或其他对应按键）进入UEFI BIOS设置界面。
2. 使用方向键切换至“Security”或“Boot”选项卡，具体位置因机型而异。
3. 查找“Secure Boot”选项，若显示为“Enabled”，需将其更改为“Disabled”。
4. 部分机型（如某些拯救者或小新Pro型号）会提示必须先设置管理员密码才能修改安全相关设置。
5. 此时应返回“Security”主菜单，选择“Set Supervisor Password”并设置强密码。
6. 保存密码后重新进入Secure Boot设置项，此时应可更改状态。
7. 确认更改后按F10保存并退出，系统将自动重启。

四、潜在风险与前置条件评估

在执行关闭操作前，必须完成以下检查：

• 确认当前操作系统支持传统启动（CSM/Legacy Mode），否则可能导致无法引导。
• 若系统为GPT分区+UEFI模式安装，则关闭Secure Boot不一定需要启用CSM，但第三方引导程序仍需签名支持。
• 备份重要数据，以防因配置错误导致系统崩溃。
• 了解组织IT策略是否允许禁用安全启动——企业环境中常被策略锁定。

例如，Ubuntu等主流Linux发行版支持shim-signed引导，可在Secure Boot启用状态下运行；但深度定制系统则往往需要关闭。

五、技术原理延伸：UEFI与Legacy混合模式的影响

联想笔记本的启动架构通常包含以下组件：

+---------------------+
|     OS Loader       |
+----------+----------+
           |
+----------v----------+
|   UEFI Boot Manager |
+----------+----------+
           |
+----------v----------+
|   Secure Boot验证层  |
+----------+----------+
           |
+----------v----------+
|     EFI System Partition (ESP) 
+---------------------+
    

当Secure Boot关闭后，UEFI不再强制校验启动镜像的签名，允许加载任意引导程序。这在嵌入式开发、逆向工程或安全研究中具有重要意义。

六、自动化检测脚本示例（适用于批量运维）

以下PowerShell命令可用于远程检测目标机器Secure Boot状态：

# 检测Secure Boot是否启用
$secureBoot = Confirm-SecureBootUEFI
if ($secureBoot -eq $true) {
    Write-Host "Secure Boot: Enabled" -ForegroundColor Red
} else {
    Write-Host "Secure Boot: Disabled" -ForegroundColor Green
}

# 获取UEFI模式信息
$biosMode = (Get-CimInstance -ClassName Win32_ComputerSystem).PartOfDomain
$startupMode = (Get-CimInstance -ClassName Win32_FirmwareElement).Name
Write-Output "Startup Mode: $startupMode"
    

七、典型故障排查流程图

当关闭Secure Boot后系统无法启动时，可参考以下流程进行诊断：

graph TD
            A[系统无法启动] --> B{能否进入BIOS?}
            B -- 是 --> C[检查Boot Mode: UEFI or Legacy?]
            B -- 否 --> D[尝试F12启动菜单]
            C --> E{Secure Boot已关闭?}
            E -- 是 --> F[检查启动顺序是否有有效OS条目]
            F --> G[尝试修复BCD或重建GRUB]
            E -- 否 --> H[重新进入BIOS关闭Secure Boot]
            H --> I[保存设置并重启]
            G --> J[恢复成功?]
            J -- 是 --> K[完成]
            J -- 否 --> L[考虑重装系统或恢复镜像]