UEFI如何安全启动

我发现，大部分玩linux的人，出现问题的主要原因都是卡在安装系统这个门槛上。因此，决定彻底的研究和解决这个问题，让大家能够愉快的使用linux，投入开源的怀抱。

本文假设你具备如下知识：

硬件开机需要经过自检过程，自检程序bios固化到主板里面，从bios时代 到uefi 的转变，让启动系统变得更加强大（虽然也不是很智能）。

CSM 兼容性支持模块，uefi兼容老bios的手段，应该关闭，因为这个会出现问题。

UEFI很多改进，但对我们关心的启动问题而言，它比BIOS进步的地方是：

启动管理器功能：

启动步骤：

windows 支持uefi的版本是从win7开始，记住只选64位。现在很多整合的启动u盘印象还是32位的，不建议使用。

命令工具虽然能够使用，但是不太友好，要求用户背指令，因此可以选择一些图形化的工具来辅助解决问题。

这一步用diskgenius操作比较舒服.下面用diskpart 演示一下:

list disk 列出磁盘,可以查看磁盘信息:

我的磁盘都是Gpt格式的了,只有磁盘4不是,磁盘4是我刚插进用来演示的u盘.diskpart的使用逻辑是你想操作什么,要先选中该对象,从选中磁盘,到选中分区,一层一层进行.转换分区是对整个磁盘的分区表进行操作的，所以应该选中磁盘。

select disk 4 选中磁盘4.

convert gpt 将选中的磁盘转换为gpt分区表格式。

看来u盘是无法演示下去了。在磁盘管理模式用exit可以退出.

那么用diskgenius继续演示：

对磁盘4右键菜单，选中“转换分区类型为GUID格式”这个菜单项，即是转换gpt的另一种说法。

遇到问题不要惊慌，都是很正常的。转换需要空间，怎么腾出空间？这个都是dg磁盘工具可以实现的功能。

用过磁盘工具的朋友都知道，磁盘是以一个陌生的单位来计算容量的，那就是扇区，那么一个扇区等于多少个字节呢？一般是512Byte，也就是半K，逼死强迫症。33除以2等于20k左右，非常小的一个容量需求。只要调整分区大小，前后腾出空间即可。

先划分1000mb空余在前端，100mb空余在后端，压压惊。

顺利转换后，新手朋友一定要学会观察信息，不要因为陌生就忽略：

可以看到磁盘类型变成gpt了，理论上，这时候你的磁盘就能被uefi识别，并用来引导。

但是，你应该建立一个专门用来放引导文件的分区，它叫esp分区，格式是非常通用的fat格式，因为不同系统支持的分区格式不相同，uefi不可能每一种都能操作，因此它就选择了最简单的分区格式，让操作系统们将引导文件放里面。

因为我们刚才预留了很多前端空间，这时候就派上用场了。右键选择磁盘4下面的F:分区，选择菜单：建立ESP/MSR分区：

因为刚才gpt分区表用了一点点，所以分了个998mb的esp分区。

最后是保存改动，一切才会生效。如果你误操作，可以别保存关闭，再打开重来一遍。

到此，磁盘转换完毕！

如果不复制启动文件到磁盘4的esp分区，是否就无法启动磁盘4上面的系统？

非也！ 因为你可以在其他磁盘，甚至是主板上面的引导菜单（需要用工具建立）启动磁盘4。因此最关键是磁盘的gpt格式。那么esp分区相对一个磁盘来说它是怎样的作用呢？它是为了让该磁盘独立引导的时候，uefi可以在此找到bootx64.efi 文件。

esp默认是被系统隐藏的，diskpart可以解除这个限制：

同理，diskpart进入磁盘工具，select disk 4选择磁盘4，list partition查看分区信息：

显示系统即esp分区，这时候应该先选中这个分区，然后才能进行操作：select par 2,然后分配个z:盘符给它assign letter=z。

这时候，你实际上可以访问它，但是默认权限不是管理员权限的，用管理员权限打开cmd，通过命令行来打开z:盘,或者,直接用diskgenius来操作。

其实你需要分配一个盘符，也能通过diskgenius操作esp盘，问题你只能手工复制相关文件，其实还是用命令行高效，而且有保证一些，因为你不清楚下一代windows会怎么修改启动文件的配置，用命令行可以保证你的操作兼容性更高一些。

重要命令:

bcdboot d:\windows /l zh-cn /s z: /f UEFI /addlast /d /v 基本格式就是bcdboot 系统 /l 语言 /s esp所在分区 /f uefi启动 /addlast 添加菜单项放在后面 /d 保留默认启动项 /v输出详细信息。当然这里面有些参数不是必要的。

这个命令最终的结果是什么？

他就是复制了 bootx64.efi、bcd、bootmgfw.efi、bootmgr.efi、memtest.efi还有一堆语言包。

前面也说了，最关键的是 bootmgfw.efi和bcd。bootx64.efi 只是一个占位文件，bcdboot直接就是把bootmgfw.efi改名成bootx64.efi而已。其他都不是关键的。

但是，放的位置是至关重要！

只需要如此安放，即可完成启动文件的配置了。

但是，uefi怎么知道我们需要启动哪个硬盘的esp分区呢？经过我测试，如果是外置的u盘，uefi会自动增加启动项，如果是内置硬盘，uefi就比较傻，这里面的设计似乎不是很完善，也许不同厂家有不同的设计方案，所以下一步，我们来实现怎样增加启动选项在主板中，彻底解决些模糊的地方。

这里应该明确两个引导菜单，一个是主板里面的，我的主板需要按F11才会弹出这个菜单，或者直接进入bios内部设置启动顺序。这个我称为主板引导菜单。

另一个是操作系统生成的引导菜单，在这里就是存放在esp分区里面的bcd文件。这个bcd是windows专用的引导菜单，如果用linux，它可能用的是grub的引导菜单。windows的引导菜单是不会理会linux的，非常傲娇，而linux的grub引导菜单则可以引导windows。

明显的，我们如果操作的是主板的引导菜单，无疑是最高层级的，因为它是uefi自身的引导菜单，而不是某种操作系统自带的。只要兼容uefi，不管是linux，或者windows，或者chinaOS都没问题的。

然后，我这里首先介绍的是怎么操作bcd引导菜单：

bcdedit /store z:\efi\microsfot\boot\bcd 这里的bcdedit就是操作bcd菜单的系统自带工具，/store是指定bcd文件，如果你不是修改当前系统的。整个命令会列出bcd菜单的内容：

第一条{bootmgr}是windows 启动管理器，即bootmgfw.efi。 第二条是windows 启动加载器，即\windows\system32\winload.efi。比如你装了两个windows，一个在c盘，一个在d盘，那么两个系统的加载器就分别在自己的windows目录下面。而device指定了盘符。

总的流程就是bootmgfw.efi 打印出引导菜单bcd，用户选择某个菜单项，它即调用该项的系统加载器来装载系统。

明白这个过程，对于若干个windows来说，我们只需要添加对应的菜单项即可，用bcdboot 可以实现，因为它添加新菜单项并不会覆盖旧的bcd，而会智能处理每一次的变更。

如果不想使用命令行，可以借助bootice这个工具来编辑菜单，新版1.3.4甚至还能修改主板的菜单，非常强大。

选择修改z:\efi\microsoft\boot\bcd 引导菜单。

我现在c盘里面有一个win10，d盘有个win7，e盘有个deepin，现在我增加win10的启动项：

发现还支持所谓的实模式，试一下能不能加载deepin：

选择uefi页，修改启动序列，可以对主板菜单做修改，推荐这个方式去实现引导！：

好，uefi引导windows部分到此结束。

因为，linux一般能够比较好的协调和windows的并存关系，当你正确安装windows（用第三节的知识），linux的安装就是水到渠成的事情。

如果是全新安装，同样的，进入bios改成uefi启动，关闭csm兼容模式，关闭安全启动secure boot。

注意磁盘分区表格式为gpt。安装镜像版本比较新，能够支持uefi，然后正常安装即可。

如果你想深入定制linux的引导，请参考第七节 grub的使用说明。

有一点需要明确，u盘，光盘等即插即用设备，它的引导方式和硬盘有所区别。

尤其是光盘，它使用的是专门的光盘格式，即.iso结尾的镜像，而硬盘的镜像是没有这种法则的。

当然，现在（2019年）我们更加常见的设备是u盘。因此我们主要是和各种硬盘镜像，或者虚拟机硬盘镜像打交道。

当然，我们下载的镜像，却经常是.iso结尾的。因此也要求我们对此有所掌握。

硬盘分区结构有bmr和gpt两种，文件系统有windows 的 fat，ntfs；linux 的ext；苹果Mac OS的hfs。

光盘文件格式：

以linux为例：

光盘也好，u盘也好，总的来说，只需要借助工具生成可引导格式便可。对u盘来说，基本就是复制硬盘启动的思路，只有细微差别。对于光盘来说，需要满足iso格式的特殊规定，启动区空间和容量有所限制。

所谓可引导设备，说到底就是让uefi能够在特定位置读取里面的引导管理器，如bootx64.efi等文件，所做的必要布局而已。

对不同文件系统之间的数据操作过程是：

整体来说，数据操作就是简单的复制文件，而启动镜像的制作在准备数据文件的基础上，使用特定的制作工具，加特定的引导文件即可。

其实可以直接对u盘进行操作。如第三节演示的那样。但这里还是按照 先准备数据，启动文件，然后制作镜像，然后写入u盘这个思路进行演练。

以debian linux 最小镜像mini.iso为例，下载地址：http://ftp.nl.debian.org/debian/dists/stretch/main/installer-amd64/current/images/netboot/ 。

这是一个可以启动的光盘镜像，里面的内容是这样的：

当然，我们可以简单的提取文件，但是linux支持挂载iso文件系统，先挂载了再操作也是挺方便的。

file mini.iso 显示这个镜像并非光盘镜像，而是一个硬盘镜像，很多时候下载的镜像，虽然是iso结尾，但是却并不一定是光盘文件系统的，这有点奇葩。

为了提取里面的引导文件，我想提取里面的启动数据，因此就必须要挂载这个硬盘镜像，根据信息，是这个硬盘有三个分区，如果你用mount直接挂载它，是挂载第一个分区，其他两个分区需要使用losetup命令。

这里需要了解一下linux的设备和文件系统基本知识。

linux中的设备被虚拟成一个文件，放在/dev/目录下，通过一个/dev/loop# （#是数字）的设备，可以将一个普通文件模拟成硬盘，然后对该文件进行读写，分区，格式化文件系统等操作。

因此，通过这个手段，可以不刻录到实际设备上，也能够装载镜像文件。但是如何读取镜像中的分区信息，并挂载其中一个分区呢？这就是losetup工具的能力。

这个分区只有一个文件：efi/boot/bootx64.efi . 接下来就是准备好我们要建立的镜像的内容。

总结一下，因为这部分的操作细节和顺序很重要！很容易出错。如果你想打开镜像的某一个分区：

如果你想制作镜像：

EDK（EFI开发工具包）子项目。shell即命令行。uefi shell很重要，因为不需要启动进入系统，它就可以让你执行很多命令，从而可以修复引导程序。

shell 命令： dmen drivers dh dmpstore devtree help ? err 错误级别 devices map 映射 guid 显示guid connect mount 块设备安装文件系统 pci 配置pci disconnect load 加载驱动 mm 设置mem/io/pci openinfo unload 卸载映像 reset 重置系统 reconnect loadbmp stall 停顿 drvcfg nshell getmtc drvdiag ver 版本 hexedit loadpcirom memmap 内存映射 Setsize bcfg 显示配置 Set 设置环境变量 Dblk 显示块设备 alias 别名

shell 内部命令： help dh 显示句柄 map guid alias set exit cd 进入目录 type

shell 外部命令：

.nsh 批处理命令： echo 回显 exit 退出 for goto if pause 暂停 startup.nsh 自动运行批处理

技巧：

命令：

grub 是开源世界一个流行的引导管理器，它有点过于强大，不但能引导各种各样的linux，还能引导windows。即支持bmr又支持uefi，甚至支持各种各样的文件系统，还能增加字体，美化菜单。这简直就是个微型操作系统，也正是如此，导致它也过于复杂。但不管怎么说，grub还是开源世界最流行的引导管理器。

主文件夹：

默认菜单：

Linux内核和镜像：

grub能力列表：

设备和路径语法：

grub引导镜像：

网络引导：

com串行终端：

构建命令：

演练：

变量(/etc/default/grub):

脚本语法：

主题资源：

对grub.cfg脚本的简单分析：

默认的启动过程是：

引导进入grub命令行，即出现grub>可以输入grub 命令行工具，来修复引导。类似bash，可以使用TAB补全和上下按键寻找历史命令。

可用命令列表：

特殊环境变量：

环境储存块：

busyBox 是一个微型linux系统，一般用在救援系统。

grub的内容相当杂乱，庞大而复杂，所以整理起来也是非常艰难。如果实在看不懂，那么就照以下步骤进行即可（所有步骤皆实际操作）：