想讓電腦「非持有特定隨身碟不可開機」？利用 組策略 啟動腳本 + 批次檔檢測隨身碟特定檔案，幾分鐘打造實體金鑰認證。

實作步驟

1. 確認隨身碟代號（插入後記下，如 I:，**此步驟最關鍵，搞錯電腦會直接關機無法進入系統**）。
2. 隨身碟根目錄建立一個唯一檔案（名稱/副檔名任意），例：123.lj。
3. 本機建立批次檔 usbkey.bat，內容：

if not exist I:\123.lj shutdown -s -t 10 -c "未偵測到授權金鑰，系統將在 10 秒後關機"

I: 為隨身碟代號，-t 10 為 10 秒倒數，-c 為提示訊息。

4. Win+R → gpedit.msc 開啟「本機群組原則編輯器」。
5. 依序展開：電腦設定 → Windows 設定 → 指令碼 (啟動/關機) → 啟動。
6. 右側「啟動」屬性 → 「新增」 → 瀏覽選取 usbkey.bat → 確定。

效果測試

• 插入隨身碟開機 → 正常進入系統。
• 未插隨身碟開機 → 10 秒倒數關機，顯示警告訊息。

緊急解鎖（隨身碟遺失/損壞時）

1. 關機倒數期間：Win+R → shutdown -a 中止關機。
2. 進入 安全模式 開機（不載入啟動腳本） → 刪除組策略啟動腳本或批次檔 → 正常模式開機。

安全性評估與改良

層面	評估	改良建議
物理安全	隨身碟可被複製、遺失、損壞	隨身碟加密 (BitLocker To Go)、隱藏檔案屬性、偽裝檔名
繞過手段	安全模式、PE 系統、離線修改登錄表/組策略	設定 BIOS/UEFI 開機密碼、鎖定啟動順序、機箱加鎖
企業級替代	—	Windows Hello / FIDO2 安全金鑰 (YubiKey) / 智慧卡登入

⚠ 此法屬「旁門左道」物理綁定，**不具備加密防禦能力**，僅適合個人電腦防止路人/家人亂用。企業/高機密環境請部署正規多因子驗證 (MFA)。