3. UEFI 固件设置：进入方法、安全启动与启动顺序配置
UEFI 固件设置（通常称为 BIOS 设置或 UEFI Setup）是排查 Bootloader 加载失败的第一道防线。错误的启动顺序、被锁定的安全启动策略或固件 Bug 都可能导致 Bootloader 无法被加载。本节将系统讲解进入 UEFI 设置的标准方法、安全启动的开关逻辑以及启动顺序的配置要点。
3.1 进入 UEFI 固件设置的方法
不同厂商的进入方式略有差异，但主要分为三类：按键进入、系统内重启进入、以及通过 Boot Manager 临时选择。下表列出了常见厂商的进入按键：
| 厂商/平台 | 进入 Setup 按键 | 进入 Boot Manager 按键 | 备注 |
|---|---|---|---|
| AMI (常见主板) | Del 或 F2 | F11 | 开机自检时连续按 |
| Insyde (笔记本常见) | F2 | F12 | 部分机型需按 Fn+F2 |
| Phoenix (老平台) | F2 或 Esc | F12 | 按 Esc 可跳过自检 |
| Lenovo (ThinkPad) | F1 | F12 | 部分机型按 Enter 再按 F1 |
| HP | F10 | F9 | 部分机型按 Esc 再选 F10 |
| Dell | F2 | F12 | 开机出现 Dell Logo 时按 |
| Microsoft Surface | 按住 音量+ 再按 电源 | — | 进入 UEFI 菜单 |
排查提示：如果按键无效，请检查是否开启了“快速启动”（Fast Boot）。快速启动会跳过按键检测窗口。此时可尝试在 Windows 中按住 Shift 点击“重启”，进入“疑难解答 → 高级选项 → UEFI 固件设置”来强制进入。
以下 SVG 展示了从开机到进入 UEFI 设置的典型流程：
3.2 安全启动（Secure Boot）开关
安全启动是 UEFI 规范中的一项关键安全机制，用于防止未经签名的恶意代码在引导阶段执行。当 Bootloader 加载失败时，安全启动往往是首要排查项。
3.2.1 安全启动的工作原理
- 平台密钥（PK）： 固件与 OS 之间建立信任的根密钥。
- 密钥交换密钥（KEK）： 用于更新签名数据库的中间密钥。
- 签名数据库（db）： 存储被允许执行的签名或哈希。
- 禁止签名数据库（dbx）： 存储被明确禁止执行的签名或哈希。
当 UEFI 固件加载 Bootloader 时，会校验其数字签名是否在 db 中且不在 dbx 中。若校验失败，固件将拒绝加载并报错。
3.2.2 安全启动状态与排查
| 状态 | UEFI 设置项 | 典型故障现象 | 排查动作 |
|---|---|---|---|
| 开启（Enabled） | Secure Boot = Enabled | Bootloader 签名无效，黑屏或提示“Secure Boot Violation” | 检查 Bootloader 是否已签名；临时关闭测试 |
| 关闭（Disabled） | Secure Boot = Disabled | 可加载未签名 Bootloader，但降低安全性 | 确认是否为有意关闭；排查其他原因 |
| 设置模式（Setup Mode） | Secure Boot = Setup Mode | 允许自定义密钥，但部分 OS 可能拒绝引导 | 检查 PK/KEK/db 是否为空或损坏 |
| 审核模式（Audit Mode） | Secure Boot = Audit Mode | 记录签名校验日志但不阻止加载 | 查看日志定位签名问题 |
重要警告：在排查 Bootloader 加载失败时，临时关闭安全启动是快速验证 Bootloader 本身是否损坏的有效手段。但生产环境或安全要求较高的系统，应在修复后重新开启安全启动并更新签名数据库。
以下 SVG 展示了安全启动的校验流程：
3.3 启动顺序（Boot Order）配置
启动顺序决定了 UEFI 固件按照何种优先级扫描存储设备并尝试加载 Bootloader。配置错误是导致“无法找到可引导设备”的最常见原因。
3.3.1 启动顺序的优先级规则
- UEFI 固件首先检查内置的 Boot Manager 列表（NVRAM 中存储的 Boot#### 变量）。
- 若列表为空或所有条目失效，则回退到自动扫描模式，按以下顺序扫描：
- 可移动设备（USB、光驱）
- 硬盘（GPT 分区，寻找 ESP 分区中的 \EFI\BOOT\BOOTX64.EFI）
- 网络启动（PXE）
- 若所有设备均未找到有效 Bootloader，则显示错误：
No bootable device或Boot failure。
3.3.2 典型配置场景
| 场景 | 推荐启动顺序 | 说明 |
|---|---|---|
| 单硬盘系统 | 硬盘 → 禁用其他 | 避免误从 USB 或光驱启动 |
| 多系统（双硬盘） | 目标系统盘 → 其他盘 | 确保优先加载目标系统的 Bootloader |
| U 盘安装系统 | USB → 硬盘 | 安装完成后记得改回硬盘优先 |
| PXE 网络引导 | 网络 → 硬盘 | 用于无盘工作站或批量部署 |
排查技巧：当 Bootloader 加载失败时，进入 UEFI 设置后首先检查“Boot Override”或“Boot Manager”菜单。如果能看到你的硬盘或 UEFI 启动项，尝试手动选择它启动。若能成功，说明是启动顺序问题；若仍失败，则可能是 Bootloader 损坏或分区表问题。
以下 SVG 展示了启动顺序的决策流程：
3.4 常见故障与修复步骤
故障案例 1：开机提示“No bootable device”，但硬盘在 BIOS 中可识别。
排查步骤：
1. 进入 UEFI 设置，检查 Boot Order 中硬盘是否排在首位。
2. 检查 Secure Boot 是否关闭（若关闭后能启动，说明 Bootloader 签名问题）。
3. 使用 Boot Manager 手动选择硬盘启动项，验证是否可引导。
4. 若仍失败，使用 PE 或 Live CD 检查 ESP 分区是否损坏。
排查步骤：
1. 进入 UEFI 设置，检查 Boot Order 中硬盘是否排在首位。
2. 检查 Secure Boot 是否关闭（若关闭后能启动，说明 Bootloader 签名问题）。
3. 使用 Boot Manager 手动选择硬盘启动项，验证是否可引导。
4. 若仍失败，使用 PE 或 Live CD 检查 ESP 分区是否损坏。
故障案例 2：安装新系统后，原系统无法引导。
原因：新系统安装程序可能覆盖了 Boot Order 或修改了 NVRAM 中的 Boot#### 变量。
修复：进入 UEFI 设置，手动调整启动顺序，或使用 bcdedit / bootrec 工具修复 Windows Boot Manager。
原因：新系统安装程序可能覆盖了 Boot Order 或修改了 NVRAM 中的 Boot#### 变量。
修复：进入 UEFI 设置，手动调整启动顺序，或使用 bcdedit / bootrec 工具修复 Windows Boot Manager。
通过掌握本节内容，你将能够快速定位因 UEFI 固件设置不当导致的 Bootloader 加载失败问题，并采取正确的修复措施。