UEFI secure boot 管理的是在GRUB引导时的那一层，这时BIOS的工作已经完成，而

BIOS的类似firmware boot 阶段integrity 检查是由boot guard这套体系完成的。因为UEFI secure boot的数字证书是存放在NVRAM中，更新微软的这个数字证书，一般不需要更新BIOS本身，只要在NVRAM里写入新的证书就可以了。