拔掉 U 盘 Windows 还记得？记录确实留着，但它比传言小得多

社交平台上有条热帖声称，凡是插过的 U 盘，Windows 都会永久记下来，哪怕拔掉也抹不掉。这个说法有一半站得住脚，但被放大得相当厉害。

先说事实层面。Windows 的确会在注册表里留下已拔出 U 盘的痕迹：U 盘一插上，系统就在 USBSTOR 这个路径下建好对应条目，把识别和配置它所需要的参数一并写进去。等它被拔走，系统无从判断这是随手一拔还是彻底不再使用，出于即插即用的考虑便把这些信息留着，好让下次接入时更快认出来。这类已经被拿走、条目却还没清掉的硬件，微软管它叫“非当前设备”，在设备管理器的“查看”菜单里勾上“显示隐藏设备”，它们就会现形。

但这份记录远没有传言里那么“可怕”。首先它并不完整：只有由存储驱动打理的设备才会被收进 USBSTOR，采用较新协议的设备走另一套驱动，鼠标、键盘、摄像头、麦克风这类外设压根不会在里面露面。其他桌面系统也有相似机制——Linux 的 udev、macOS 的 IOKit 同样会保存处理过的硬件信息，识别设备、加载驱动、帮助排障，本来就是操作系统的本职。

更关键的是里面究竟存了什么。USBSTOR 记录的东西其实很少：设备名（比如某款闪迪 U 盘）、硬件与实例标识符，偶尔还会带上序列号或位置，以及首次安装、最近插入和最近移除的时间点。记录里没有 U 盘的文件列表，也说明不了文件有没有被人拷走。真想追踪文件访问，得事先打开“审核可移动存储”这类策略，产生对应的事件日志，并且它只管启用之后的操作，回头再开是追不回来的。

清理起来也不麻烦：在设备管理器的隐藏设备视图里，对着那块灰色的 U 盘点右键、选卸载设备就好——微软说卸载时相关注册表项会跟着删掉。只是别自己动手去删 USBSTOR 注册表项，弄不好会连累系统。总的来看，Windows 保留 U 盘记录这件事是真的，但它既不含内容，也证明不了谁拷过文件，更谈不上永久。

文章与图片内容转载网络，如有侵权请联系平台删除