4个坑：Windows更新后，你的Linux双系统去哪了？

装好Windows和Linux双系统，本以为能各用各的，结果Windows从来不配合。系统更新、安全功能、默认电源设置，随便哪一项都能把共享的启动环境搅乱。下面这四种情况，是Windows给Linux安装制造麻烦的典型方式，以及每种该怎么应对。

一、启动菜单被悄悄抢回去

Windows对共享磁盘从来没什么礼貌。多数时候它不需要讲礼貌，所以对少数真这么用的用户，它也就懒得客气。最常见的破坏方式，是重新夺回启动过程的控制权。在UEFI系统上，两个操作系统都把引导程序放在EFI系统分区，固件根据存在NVRAM里的启动顺序决定先加载谁。

Windows的重大功能更新、修复操作，或者一次全新重装，都可能改写这个顺序，把Windows Boot Manager重新放回第一位。GRUB通常没被删掉，但下次重启会跳过菜单，直接进Windows，很多人因此以为Linux不见了。在更老的BIOS加MBR分区机器上，情况更糟，因为Windows安装程序会把自己的代码写进主引导记录，直接把GRUB抹掉。

知道发生了什么，修起来就简单。用Linux启动U盘引导，挂载已安装的系统，用grub-install重装引导程序，再跑update-grub，或者用efibootmgr把Linux条目挪回最前面。麻烦在于你得手头正好有那个U盘，而如果只有Windows能启动，你可能根本没准备。

几个习惯能降低风险：先装Windows再装Linux，让Linux安装程序检测并尊重已有设置；给Linux单独一块盘、单独的EFI分区，让Windows更新碰不到你的引导文件；在往最坏处想之前，先看看固件启动菜单，条目往往还在，只是被降级了。这些行为本身没有恶意，但Windows把磁盘当成只有自己一个租户，每次更新决定“整理”一下，你的Linux安装就得买单。所以多做点额外措施总没坏处。

二、Secure Boot把你锁在门外

Secure Boot只允许机器运行由固件信任的密钥签名的引导程序。因为硬件厂商出厂的固件信任微软的证书，多数Linux发行版依赖一个叫shim的小型加载器，由微软代它们签名。这个安排一直能用，直到微软改了东西。它的2011年证书今年开始到期，其中给Linux shim签名的那张在6月27日到期，给Windows引导程序签名的那张在10月19日到期。一个日期已经过去，另一个也快了。

固件其实不检查到期日期，所以今天能启动的Linux安装应该还能继续启动。真正的问题在后面：新的shim只用更新的2023年证书签名，而固件从未收到过那张证书的机器，可能会拒绝它们。

在双系统机器上，Windows Update本应负责把新证书送进固件——这种依赖正是让Linux用户不安的地方。没有厂商固件更新的老电脑可能永远拿不到，而全新的发行版安装程序在开启Secure Boot时可能根本起不来。

这不是Windows更新第一次捣乱。2024年8月，一个针对bootkit漏洞的Windows安全更新，让部分双系统机器无法启动Linux，报出SBAT验证相关的错误。常见的绕法是暂时关掉Secure Boot，更新发行版的shim和GRUB包，再重新打开。fwupd这类工具也能帮上忙，从Linux内部更新固件的密钥数据库，不过效果取决于你的硬件厂商配不配合。

三、快速启动：半关机状态下的磁盘陷阱

快速启动听起来无害。它不完整关机，而是把内核状态存进休眠文件，让下次启动更快。问题在于，当你选择“关机”时，Windows实际上是在休眠。它的NTFS分区处于不干净、挂起的状态，仿佛系统随时可能恢复。这时你启动Linux去打开那些分区，驱动通常会拒绝以读写方式挂载，或者只读挂载并警告存在休眠会话。

有人会强行挂载。这是个坏主意。往一个Windows自认为会接着用的文件系统里写数据，可能损坏数据，而丢弃休眠文件的ntfs-3g选项，也会把Windows存在内存里的东西一并扔掉。你从Linux改过的文件，也可能和Windows回来时预期看到的不一致。

最干净的办法是在Windows电源设置里关掉快速启动，位置在“选择电源按钮的功能”菜单下，选项藏在一个需要管理员权限的链接后面。在管理员命令提示符里运行powercfg /h off更彻底，会完全移除休眠功能，还能腾出几个GB的磁盘空间。如果你更想保留这个功能，那在启动Linux前永远选“重启”而不是“关机”，因为重启会完整关闭内核。不管哪种方式，这个麻烦都容易预防，但它让很多新手措手不及，因为默认行为看起来像正常关机，实际做的却是另一回事。

四、BitLocker：加密把Linux安装变成一场恢复密钥搜寻

BitLocker是这份清单里最严重的威胁，主要是因为它可能让你的数据彻底够不着。近期版本的Windows 11在许多新电脑上启用设备加密，往往在你用微软账户登录时自动开启，恢复密钥最终存在那个账户里，而不是你以为能找到的地方。BitLocker把加密