ESP32 eFuse配置疑问：无法限制USB固件读写权限

一、当前配置无效的原因 #

1. UART_DOWNLOAD_DIS仅对ESP32 Rev3生效
   从你的efuse summary可以看到CHIP_VER_REV2 = False，说明你的ESP32是Rev1/Rev2版本，而UART_DOWNLOAD_DIS (BLOCK0)这个eFuse仅在ESP32 Rev3（即CHIP_VER_REV2=True）芯片上生效，所以该设置对当前芯片无作用。

2. DISABLE_DL_ENCRYPT/DISABLE_DL_DECRYPT不具备禁用烧录的功能
   这两个eFuse仅控制UART bootloader是否允许加密/解密固件下载，并非禁止通过UART/USB接口烧录固件本身，因此无法实现你要的权限限制效果。

二、限制USB/UART固件访问的正确配置方案 #

针对ESP32 Rev1/Rev2芯片，需结合以下配置实现固件读写权限限制：

1. 启用Secure Boot（安全启动） #

Secure Boot会强制验证启动镜像的签名，未签名的固件无法烧录和启动，步骤如下：

• 生成安全启动密钥并写入BLOCK2
• 设置ABS_DONE_0（Secure Boot V1）或ABS_DONE_1（Secure Boot V2）为True
• 注意：Secure Boot一旦启用无法禁用，操作前务必完成充分测试。

2. 启用Flash Encryption（闪存加密） #

Flash Encryption会加密闪存中的固件内容，即使物理读取闪存也无法获取明文固件，步骤如下：

• 逐步提升FLASH_CRYPT_CNT的数值（从1开始，最高可设为7）以启用加密
• 将闪存加密密钥写入BLOCK1
• 建议配合Secure Boot使用，进一步强化固件保护。

3. 禁用JTAG（可选） #

若要防止通过调试接口泄露固件内容，设置JTAG_DISABLE = True，关闭JTAG调试通道。

三、配置验证 #

完成设置后，运行esptool.py efuse summary确认以下参数状态：

• ABS_DONE_0或ABS_DONE_1为True
• FLASH_CRYPT_CNT不为0
• JTAG_DISABLE（若启用）为True

此时尝试烧录未签名的固件，操作会失败，说明权限限制生效。

内容的提问来源于stack exchange，提问作者Hamza Abbasi