双体系报错verifiying shim SBAT data falled: Security Pollcy Violation

一、开机卡在两段英文报错上

早上开电脑，跳过 GRUB 之后屏幕卡了一下，然后跳出两段英文，大意是引导过程自检失败、安全策略违规，随后直接进入一个没法进系统的状态。这两句话通常是这么写的：

verifying shim SBAT data failed: Security Policy Violation
Something has gone seriously wrong: error self-check failed: Security Policy Violation

很多人的第一反应是"系统坏了要重装"，其实不是。这是 Windows 更新之后，安全启动（Secure Boot）里的 SBAT 策略被更新了，而旧的 Linux ISO 镜像打出来的引导程序不符合新策略，于是被拒绝启动。它只影响开机引导这一小段，桌面和数据都还好好的。

二、先把成因说清楚

SBAT 全称是 Secure Boot Advanced Targeting，可以把它理解成安全启动规则里的一张"黑名单/白名单"，用来标记某些旧版本引导程序的特征。微软在推送 Windows 更新时会同步更新这张表。

问题出在双系统：如果这台机器同时装着 Windows 和 Linux，且 Linux 的引导文件是用比较老的 ISO 装出来的（老版本的 GRUB、shim、grubx64.efi 这类），那新策略一生效，老引导程序就被判定为不安全，直接拒绝执行。单系统 Linux 一般不会遇到，双系统才是重灾区。

三、最直接的解法：进 BIOS 关掉安全启动

对绝大多数人来说，这一步就够了。既然报错是因为安全启动的策略卡住了老引导程序，那就先把安全启动关掉，让老引导程序能正常跑起来。

3.1 进 BIOS 的按键

不同品牌按键不一样，常见的是这几个：重启后在开机画面出现时不停按 F2、F10、Del 或者 Esc。以暗影精灵这类机型为例，是按住电源键之后连续按 F10 进入 BIOS。

3.2 关掉哪一项

要关的是"安全启动"，英文一般写作 Secure Boot，有的机器会写成 Secure Boot Mode 或者 Windows UEFI mode。提醒一个坑：很多机器的这个选项并不在"Security（安全）"菜单里，而是藏在"System Configuration（系统设置）/ 系统设置"下面，找的时候别只翻一个菜单。

3.3 保存退出

改成 Disabled 之后按 F10 保存并退出，机器会重启。重启之后如果还能进 Linux，说明问题解决。

四、如果不方便关安全启动

有些环境（比如公司机器开了 BitLocker、或者老板要求必须保持安全启动）不能关，那就走另一条路：升级引导程序。

• 先进到还能用的系统里，把 GRUB 和 shim 更新到新版本。
• 重新生成一份引导配置，让引导文件的特征匹配新的 SBAT 策略。

在 Debian/Ubuntu 系上大致是这样：

sudo apt update
sudo apt install --reinstall grub-efi shim-signed
sudo update-grub

如果是自己从 ISO 装的，改完重新用新版本的 ISO 重装一次引导（只重装引导，不动系统）也能解决。

五、进不了系统怎么做下一步排查

如果连 BIOS 之后都回不到老系统，还有两条路能进一个临时环境：

5.1 用 GRUB 菜单里的恢复选项

开机按住 Shift（UEFI 机器按 Esc）调出 GRUB 菜单，选 Advanced options 里带 recovery mode 的那条，进去之后选 root 拿一个 shell。

5.2 用 Live USB

拿另一台电脑做一个 Ubuntu 安装盘，从 U 盘启动进"试用"环境，把原系统的分区挂上，chroot 进去更新引导。这个办法不碰数据，比较稳。

六、怎么避免再次发生

• 双系统机器尽量用较新版本的发行版 ISO，老 ISO 的引导程序迟早会被新策略拦。
• 不要在装完系统之后才装 Windows 更新，尽量保持引导侧组件跟着系统一起升级。
• 保留一份 Ubuntu 安装 U 盘，遇到这种引导问题能从 U 盘进系统修，不用重装。

七、小结

看到 verifying shim SBAT data failed 不要慌，这不是系统损坏。成因是 Windows 更新刷新了安全启动的 SBAT 策略，而双系统里老版本 Linux 引导程序不符合新策略。最快的解法是重启进 BIOS，把安全启动一项关掉再保存退出；不方便关的话，就在能用的环境里把 GRUB 和 shim 升到新版本、重新生成引导配置。真连 BIOS 都进不去，就用 GRUB 的恢复模式或者 Live U 盘进系统补救，整条路都不需要重装系统。

qidao123.com企服评测-应用市场 编辑提示