换了3个U盘都装不上系统？不是镜像坏了，是微软偷偷换了“门禁”

装新系统装到一半卡住，遇到过没？

镜像是官网下的，U盘是按教程写的，BIOS启动顺序也设对了。插上去开机，直接报错，连安装界面都见不着。

换U盘，重新写镜像。还是一样的结果。

昨天一个做设计的兄弟找我，新装的上Win11，U盘启动直接报错，换了仨U盘都不行。

进BIOS一看，安全启动开着，主板2021年的。

答案是：不用换主板。这是2011年的“门禁卡”到期了。

啥是“门禁卡”？

2012年微软搞了安全启动，给电脑发了一张UEFI CA 2011证书。2023年发了新证书，但老电脑得靠系统更新才能换。

没换成的，新镜像、新PE都用新卡签名，旧卡不认。

现在啥情况？

三组核心证书从2026年6月24日起陆续过期。现有系统还能开机。但没新证书的机器，后面收不到启动安全补丁。

哪些机器最容易中招？

2024年前的老设备、组装兼容机、绕过TPM装Win11的机器。

哪种电脑没事？

纯Legacy BIOS的老电脑——不支持安全启动，直接跳过。

安全启动关了的设备——暂时没事。但有个坑：Windows更新会把启动管理器换成2023版签名。哪天你把安全启动重新打开，签名对不上，直接开不了机。

怎么查？

Win+R输msinfo32，找“安全启动状态”。

想查有没有2023证书，管理员开PowerShell，输入以下代码：

"2023版证书: $(([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'))"; "2011版证书: $(([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011'))"

返回True就是有。

怎么办？

Win11用户：开着自动更新就行。但安全启动必须启用。

Win10用户：需要装KB5073724。非LTSC版没加入ESU计划的话，无法自动获取。

老主板、组装机：可能要手动刷BIOS。

急着装系统的：临时关安全启动再装。但关了安全启动，新证书也装不上。

电脑里那些看不见的底层东西，出问题的时候真能折腾死人。

技术最大的坑，从来不在明面上，都在你看不见的地方。

你遇到过这情况吗？评论区聊聊。