文件補上 ThinkPad Secure Boot 卡 Ventoy 的處置（0x1A Security Violation）

在 REINSTALL.md 補 BIOS 預備區塊、常見坑表格、部署前 checklist；
QUICKSTART.md 常見錯誤表也加一列，避免下次踩到同樣的卡關。

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

QUICKSTART.md

@@ -176,6 +176,7 @@ Shift + F10 在任何安裝畫面會開出命令提示字元，可以 `notepad`
 
 | 現象 | 原因 | 解法 |
 |---|---|---|
+| Ventoy 一啟動就跳 `Verification failed: (0x1A) Security Violation` | 目標機（ThinkPad / Dell 商用機常見）BIOS 開著 Secure Boot，Ventoy bootloader 不在受信任金鑰裡被 shim 擋下 | 進 BIOS（ThinkPad 是 F1）→ Security → Secure Boot → Disabled → F10 存檔 → 重開 F12 重選 USB |
 | Ventoy 沒跳「Auto Install Template」選單 | `ventoy.json` 的 `image` 路徑對不上 ISO 實際路徑 | 路徑以 `/` 開頭、相對 USB 根目錄；或改用 fuzzy / `parent` 比對 |
 | 跳了選單但跳過後仍停在選語系畫面 | `unattend.xml` 路徑錯誤或 XML schema 有誤 | 用 Windows SIM 驗證 XML；確認 `template` 指到的檔案真的存在 |
 | 磁碟分割失敗或裝到 Ventoy USB 上 | `DiskID` 挑到 Ventoy USB | 確認用的是 `$$VT_WINDOWS_DISK_1ST_NONVTOY$$`，不是硬寫 `0`；多硬碟環境可改用 `$$VT_WINDOWS_DISK_MAX_SIZE$$` |

REINSTALL.md

@@ -70,6 +70,18 @@ steps/         (43 個檔：17 對 .bat/.ps1 + _common.ps1 + _admin-shell.bat
 
 插 USB → 開機 → BIOS 設 USB 優先 → Ventoy 選單。
 
+> **首次部署到一台新機（特別是 ThinkPad / Dell 商用機）先確認 BIOS 設定**：
+>
+> - **Secure Boot 必須關閉**。Ventoy 的 bootloader 不在 Microsoft 預設信任金鑰清單裡，
+>   Secure Boot 開著就會被 shim 擋下、跳 `Verification failed: (0x1A) Security Violation`，
+>   USB 開機直接失敗。ThinkPad 進 BIOS 的步驟：
+>   1. 重開機按 **F1** 進 BIOS（部分機型是 Enter → F1）
+>   2. **Security → Secure Boot → Disabled**
+>   3. **F10** 存檔離開
+>   4. 重開後按 **F12** 選 `USB HDD: External USB3.0`（或對應 USB 名稱）進 Ventoy
+> - 其他可能要動的：CSM/Legacy Boot **關閉**（保持純 UEFI）；Boot Order 把 USB 放到 HDD 之前；
+>   有些機種需要先 disable BitLocker 否則裝完原系統開不回來（這份範本反正會清碟，不影響）。
+
 | 步驟 | 預期畫面 | 大約時間 |
 |---|---|---|
 | Ventoy 選單 | 選 Win11 ISO（會顯示 menu_tip） | — |
@@ -218,6 +230,7 @@ print(out)
 
 | 現象 | 根因 | 已修在 |
 |---|---|---|
+| Ventoy 一啟動就跳 `Verification failed: (0x1A) Security Violation` | 目標機（常見於 ThinkPad）BIOS 開了 Secure Boot，Ventoy bootloader 不在受信任金鑰中被 shim 擋下 | BIOS → Security → Secure Boot → Disabled → F10 存檔 → F12 重選 USB |
 | OpenSSH FoD 卡住 10+ 分鐘 | Add-WindowsCapability 真的就那麼慢，不是壞 | 等就好 |
 | RDP firewall 沒打開 | 某些 Win11 SKU 沒有 `Remote Desktop` display group | step 02 改顯式 New-NetFirewallRule |
 | WinRM `winrm quickconfig` 拒絕 | 網路被當成 Public profile | step 04 開頭 Set-NetConnectionProfile Private |
@@ -238,6 +251,7 @@ print(out)
 - [ ] USB 上 `unattend.xml` / `Setup.ps1` / `Run-Setup.bat` / `steps/` 都 sync 過
 - [ ] `unattend.xml` 的密碼 / Computer name / KMS 設定符合本次部署
 - [ ] 目標機是 **UEFI + GPT**（這份範本不支援 BIOS/MBR）
+- [ ] 目標機 BIOS **Secure Boot 已關閉**（ThinkPad 必踩；不關 Ventoy 直接跳 `Verification failed: (0x1A)`）
 - [ ] 目標機有網路（Ethernet+DHCP，或記住的 Wi-Fi）—— Phase 2 七段需要
 - [ ] 目標機 USB 開機優先順序最高
 - [ ] **USB 撐到第二次重開機進登入畫面才拔**（OOBE 太早拔，Order 4 找不到 Setup.ps1）