在组装或升级电脑时，大多数人关注的是CPU、显卡、内存这些看得见的性能部件，却容易忽略系统底层的安全设计。其实，现代主板和固件早已集成了多种嵌入式安全机制，它们像隐形卫士一样，从开机那一刻就开始保护你的设备。
TPM芯片：硬件级的密码保险箱
现在很多主板都自带TPM（可信平台模块）芯片，尤其是支持Win11的机型。它不参与运算，也不提升游戏帧数，但能安全存储加密密钥、设备指纹等敏感信息。比如你启用了BitLocker加密硬盘，密钥就不会明文存在系统里，而是由TPM保管。即使硬盘被拆走插到别的机器上，数据也打不开。
装机时如果主板没集成TPM，可以查看是否有TPM插座（通常标为JTPM或TMP_HEADER），通过小模块扩展。进入BIOS后记得在安全选项中开启TPM功能，否则系统可能识别不到。
UEFI安全启动：阻止恶意程序抢跑
传统BIOS时代，病毒常伪装成启动项，在系统加载前就潜伏进去。现在的UEFI固件加入了安全启动（Secure Boot）机制，只允许经过数字签名的引导程序运行。相当于给开机流程设了道安检门，没有“通行证”的代码直接被拦下。
装机完成后进BIOS，建议在“Security”或“Boot”菜单中启用Secure Boot。如果你还打算装Linux，要注意选择支持该机制的发行版，否则可能无法启动。
固件写保护：防止BIOS被篡改
有些高端主板会在SPI闪存芯片上设置写保护开关，或者通过EC（嵌入式控制器）锁定固件区域。这意味着即使系统被攻破，攻击者也无法刷入恶意BIOS。类似你在家里装防盗门，外面的人撬不开锁，自然进不了屋。
这个功能一般默认开启，不需要手动操作。但如果你需要更新BIOS，部分主板会提示先关闭写保护，操作完再恢复，注意按说明步骤来。
实际应用场景举例
小李刚组装了一台办公主机，公司要求所有设备必须启用磁盘加密和安全启动。他发现主板支持TPM 2.0，于是在BIOS中开启相关选项，安装系统后顺利激活BitLocker。后来U盘感染了蠕虫病毒，插入这台电脑时，Secure Boot成功阻止了病毒伪装的引导程序运行，避免了内网扩散。
简单配置示例（以常见AMI BIOS为例）
Security >
<TPM Configuration>: Enabled
<Secure Boot>: Enabled
<Set Supervisor Password>: 设置强密码
Boot >
<Boot Mode>: UEFI Only
<Fast Boot>: Disabled (首次调试建议关闭)这些设置看似不起眼，但在关键时刻能挡住大多数低级攻击。装机不只是拼硬件，把嵌入式安全机制用好，才能让整套系统真正稳得住。