2、UEFI的启动模式：传统Legacy BIOS启动 vs UEFI启动、Secure Boot概念初探
2.1 从Legacy到UEFI：一次必然的进化
聊UEFI之前，我们得先搞清楚它要取代的是什么。Legacy BIOS，也就是传统BIOS，已经服务了PC行业二十多年。说实话，它够用，但真的老了。
我个人习惯把Legacy BIOS比作一个「老式电话交换机」——只能做固定的几件事，扩展性差，而且每次只能处理一个呼叫。UEFI呢？更像一个现代化的IP交换机，灵活、可扩展、还能并行处理。
先看一个最直观的对比：
| 对比维度 | Legacy BIOS | UEFI |
|---|---|---|
| 接口位数 | 16位（实模式） | 32位/64位（保护模式/长模式） |
| 寻址能力 | 1MB（受限于实模式） | 理论无限制（64位地址空间） |
| 磁盘分区 | MBR（主引导记录） | GPT（GUID分区表） |
| 磁盘容量 | 最大2TB | 支持9.4ZB（实际受文件系统限制） |
| 启动速度 | 慢（逐项初始化） | 快（并行初始化） |
| 驱动模型 | Option ROM（16位） | UEFI Driver（可跨平台） |
| 安全性 | 无内置安全机制 | Secure Boot（安全启动） |
| 用户界面 | 文本菜单（通常蓝底白字） | 图形界面（支持鼠标、高分辨率） |
核心差异一句话总结：Legacy BIOS活在16位实模式的「小盒子」里，UEFI则是一个运行在32/64位保护模式下的微型操作系统。
2.2 Legacy BIOS的启动流程：一个老工程师的回忆
我记得刚入行那会儿，调试Legacy BIOS启动问题是最头疼的。流程其实不复杂，但每一步都可能出幺蛾子。
- 上电自检（POST）——硬件基本检查，CPU、内存、芯片组先过一遍。
- 初始化硬件——设置中断向量表、初始化DMA、定时器等。
- 扫描Option ROM——显卡、网卡、RAID卡的ROM会被加载到内存0xC0000~0xE0000区域。
- 读取MBR——从启动设备（硬盘、U盘等）的0扇区读取512字节的MBR。
- 执行MBR代码——MBR里的446字节引导代码开始执行，查找活动分区。
- 加载VBR——从活动分区读取卷引导记录（VBR）。
- 加载Boot Manager——比如Windows的bootmgr或Linux的GRUB stage1。
- 加载操作系统内核——终于进入操作系统。
这里有个坑，我曾经踩过：MBR的446字节限制。引导代码必须塞进这446字节里，稍微复杂点的逻辑就装不下。所以GRUB才搞出了stage1、stage1.5、stage2这种分段加载的架构。说白了，就是被这446字节逼出来的。
Legacy BIOS的致命伤：MBR分区表只支持4个主分区，磁盘容量上限2TB。你想想看，现在随便一块SSD都2TB起步了，这限制多要命。
2.3 UEFI启动流程：这才是现代该有的样子
UEFI的启动流程，说白了就是把Legacy那套「小作坊式」的流程，改成了「工业化流水线」。它不再依赖MBR那可怜的512字节，而是直接在固件层面支持文件系统。
- SEC（安全验证）阶段——CPU和芯片组初始化，建立临时内存（Cache as RAM）。
- PEI（EFI预初始化）阶段——检测内存、初始化核心硬件，为DXE做准备。
- DXE（驱动执行环境）阶段——加载各种UEFI驱动，初始化所有设备。
- BDS（启动设备选择）阶段——扫描启动管理器，按优先级尝试启动项。
- TSL（临时系统加载）阶段——加载UEFI应用（如Shell、Boot Manager）。
- RT（运行时）阶段——操作系统接管，UEFI进入Runtime Services模式。
- AL（灾难恢复）阶段——如果前面都失败了，进入恢复模式。
嗯，这里要注意：UEFI的启动设备上必须有一个EFI系统分区（ESP），格式化成FAT32。启动文件（比如bootx64.efi）就放在EFI\BOOT\目录下。UEFI固件直接读取这个.efi文件并执行，不需要经过MBR那层中转。
我的经验：调试UEFI启动问题时，我习惯先检查ESP分区是否存在、文件是否完整。很多「无法启动」的问题，其实就是ESP分区被误删了或者文件损坏了。
2.4 Secure Boot：给启动链加把锁
Secure Boot，安全启动。这个概念刚出来的时候，很多人觉得是微软在搞垄断。但说实话，从安全角度看，它确实是个好东西。
它的原理其实不复杂：数字签名验证。UEFI固件里预置了一组可信的公钥（PK、KEK、db）。每次加载一个.efi文件（驱动或启动加载器）之前，固件都会验证它的数字签名。签名不在白名单里？对不起，拒绝加载。
我举个例子你就明白了：
- PK（平台密钥）——最高权限，控制谁可以修改Secure Boot策略。
- KEK（密钥交换密钥）——用于更新db和dbx数据库。
- db（允许数据库）——存放可信的签名或证书哈希。
- dbx（禁止数据库）——存放已知恶意或已撤销的签名。
启动时，固件会做这么几步：
- 读取.efi文件的数字签名。
- 用db里的公钥验证签名是否有效。
- 检查dbx里有没有这个签名（防止已撤销的签名被滥用）。
- 验证通过？加载执行。验证失败？直接拒绝。
避坑指南：我曾经遇到过一台机器，装Linux时死活启动不了。查了半天，发现是Secure Boot没关，而那个Linux发行版的shim（引导垫片）签名不在db里。解决方案？要么关掉Secure Boot，要么导入该发行版的签名证书到db里。
2.5 启动模式对比：一张图看懂
下面这张图，我画了Legacy BIOS和UEFI的启动流程对比。你一看就明白差距在哪了。
2.6 实际项目中的选择建议
做固件开发这么多年，我遇到过不少客户纠结「到底用Legacy还是UEFI」。我的建议很简单：
- 新项目，一律用UEFI——别给自己找麻烦。UEFI已经是行业标准，Windows 8/10/11、主流Linux发行版都原生支持。
- 兼容旧硬件？——很多UEFI固件提供了CSM（兼容性支持模块），可以模拟Legacy BIOS行为。但注意，CSM本身也是UEFI的一个模块，不是真正的Legacy BIOS。
- Secure Boot要不要开？——如果是企业环境、政府项目、或者对安全有要求的场景，建议开启。个人用户嘛，看需求。但记住：开启Secure Boot后，所有启动组件（包括GRUB、shim、内核）都必须有有效签名。
一个容易忽略的点：UEFI启动模式下，操作系统必须支持GPT分区表。如果你把Windows 7（32位）装在UEFI+GPT的机器上，大概率会翻车。Windows 7 64位倒是支持，但需要额外配置。嗯，这里建议直接用Windows 10/11。
2.7 本章小结
Legacy BIOS和UEFI的差异，说白了就是「老式功能机 vs 智能手机」的差距。Legacy BIOS能干活，但限制太多；UEFI灵活、安全、可扩展，是未来（其实已经是现在）的方向。
Secure Boot作为UEFI的安全基石，虽然配置起来有点麻烦，但它的价值在于：从固件层面就杜绝了未签名的恶意代码在启动阶段执行。我见过太多因为没开Secure Boot而被bootkit攻击的案例了。