2. BIOS 与 UEFI 对比：传统 BIOS 的 MBR 分区表与启动流程，UEFI 的 GPT 分区表与安全启动 (Secure Boot) 机制

在 x86 架构的计算机中，固件接口是硬件与操作系统内核之间的第一层桥梁。传统 BIOS（Basic Input/Output System）与现代 UEFI（Unified Extensible Firmware Interface）在分区表格式、启动流程、安全机制上存在本质差异。理解这些差异是分析 Linux 内核启动入口的关键前提。

2.1 传统 BIOS + MBR 启动流程

BIOS 启动流程遵循“固定地址、链式加载”的模型，其核心依赖主引导记录（MBR）中的 512 字节引导代码。

2.1.1 MBR 分区表结构

MBR 位于磁盘的第一个扇区（LBA 0），其布局如下：

2.1.2 BIOS 启动步骤

1. 上电自检（POST）： 初始化硬件，检测内存、CPU、芯片组。
2. 启动设备枚举： 按 CMOS 中设置的启动顺序扫描磁盘。
3. 加载 MBR： 将磁盘第一个扇区（512 字节）加载到内存地址 0x7C00。
4. 校验签名： 检查最后两个字节是否为 0x55AA。
5. 跳转执行： CPU 跳转到 0x7C00 执行 MBR 中的引导代码。
6. 链式加载： MBR 代码读取活动分区的卷引导记录（VBR），VBR 再加载引导管理器（如 GRUB Stage 1.5 / Stage 2）。

2.2 UEFI + GPT 启动流程

UEFI 取代了传统 BIOS 的固化中断服务，提供一套标准化的运行时服务与启动服务。GPT（GUID Partition Table）是 UEFI 规范强制要求的分区表格式。

2.2.1 GPT 分区表结构

GPT 使用 64 位 LBA，支持超过 2 TiB 的磁盘。其布局包含保护性 MBR、主 GPT 头、分区表项数组、以及备份 GPT 头。

2.2.2 UEFI 启动步骤

1. 安全初始化： UEFI 固件初始化 CPU、芯片组、内存控制器，进入 64 位平坦模式。
2. 扫描 EFI 系统分区（ESP）： 固件读取 GPT 分区表，定位 FAT32 格式的 ESP 分区。
3. 读取启动管理器： 固件从 EFI\BOOT\BOOTX64.EFI（x86_64 架构）加载 UEFI 应用程序。
4. 安全启动校验（若启用）： 固件验证引导加载器数字签名是否在数据库（DB）中。
5. 执行引导加载器： 引导加载器（如 GRUB、systemd-boot）读取配置文件，加载 Linux 内核。
6. 退出启动服务： 引导加载器调用 ExitBootServices()，将控制权移交给内核。

2.3 安全启动 (Secure Boot) 机制

安全启动是 UEFI 规范 2.3.1 引入的可选功能，旨在防止未经签名的恶意代码在固件与操作系统之间执行。其核心基于公钥基础设施（PKI）和签名数据库。

2.3.1 安全启动数据库架构

2.3.2 安全启动验证流程

1. 固件加载引导加载器： UEFI 固件读取 BOOTX64.EFI 文件。
2. 提取数字签名： 固件解析 PE/COFF 格式的签名证书或哈希值。
3. 查询 DB 数据库： 将签名与 DB 中的白名单条目比对。
4. 查询 DBX 数据库： 检查签名是否在撤销黑名单中。
5. 执行或拒绝： 若签名匹配 DB 且不在 DBX 中，则允许执行；否则拒绝启动。
6. 链式信任传递： 引导加载器（如 shim → GRUB → Linux 内核）逐级验证下一阶段组件的签名。

2.4 BIOS 与 UEFI 核心对比