EFS是最直接的系统级透明加密方案，需专业版及以上系统与NTFS格式；操作包括确认版本/格式、图形界面勾选加密、cipher命令行批量加密、预先生成证书及配置NTFS权限。
如果您在Windows 11中希望对单个文件或整个文件夹实施系统级、无需额外密码输入的透明加密，则EFS（加密文件系统）是最直接且内置于专业版及以上系统的方案。该功能将数据与当前用户账户的EFS证书及私钥强绑定，非该账户登录时即使拥有管理员权限也无法读取内容。以下是实现EFS加密的完整操作路径：
一、确认系统版本与磁盘格式兼容性
EFS仅支持Windows 11专业版、企业版及教育版，且必须运行于NTFS格式的卷上；家庭版系统不提供EFS功能，exFAT或FAT32分区需先转换为NTFS方可启用。
1、按下Win + R键，输入winver并回车，核对系统版本是否为专业版、企业版或教育版。
2、在“此电脑”中右键目标驱动器（如C:），选择“属性”，确认“文件系统”显示为NTFS；若为exFAT或FAT32，以管理员身份运行命令提示符，执行：convert D: /fs:ntfs（将D:替换为实际盘符）。
二、通过图形界面启用EFS加密
该方式利用资源管理器属性面板完成配置，全程可视化操作，适用于绝大多数个人用户，加密后文件名在资源管理器中显示为绿色，图标右下角可能带锁形标识。
1、在文件资源管理器中定位到目标文件或文件夹，右键单击，选择“属性”。
2、在“常规”选项卡下方点击“高级”按钮。
3、勾选“加密内容以便保护数据”，点击“确定”返回属性窗口。
4、点击“应用”，在弹出的加密范围提示中选择“将更改应用于此文件夹、子文件夹和文件”（若为单个文件则选“仅应用于此文件”）。
5、系统弹出“加密警告”对话框时，务必点击“现在备份”，将生成的.pfx证书文件保存至U盘等离线安全位置；否则重装系统或用户配置损坏后，加密内容将永久不可恢复。
三、使用cipher命令行批量加密目录
该方法适用于需递归加密整棵树、自动化部署或脚本集成场景；cipher命令通过NTFS属性标记实现EFS加密，/s参数确保子目录与新创建文件自动继承加密属性。
1、以管理员身份打开命令提示符（CMD）或PowerShell。
2、执行命令切换至目标路径，例如：cd /d D:\SecretDocs。
3、运行加密命令：cipher /e /s:"D:\SecretDocs"。
4、首次执行时系统可能提示“是否加密子目录”，按Y确认。
5、加密完成后，可通过命令：cipher /n "D:\SecretDocs"验证状态，输出中应包含“加密：是”字段。
四、预先生成EFS证书确保加密生效
部分组策略限制、域环境或证书存储异常可能导致cipher命令失败或图形界面勾选后无响应；此时必须先手动触发EFS证书初始化，为当前用户生成合法的公私钥对，这是EFS加密的前提条件。
1、以管理员身份打开命令提示符（CMD）或PowerShell。
2、输入命令：cipher /k，回车执行。
3、系统将生成新的EFS证书并导入当前用户证书存储区，同时在桌面生成一个CER文件（可选备份）。
4、运行certmgr.msc打开证书管理器，展开“个人 → 证书”，确认存在颁发给当前用户的、用途为“加密文件系统”的证书。
五、结合NTFS权限强化访问控制
EFS本身不限制删除或复制操作，其他用户仍可删除加密文件造成数据丢失；因此必须同步配置NTFS权限，禁止非授权用户对文件夹执行读取、列出内容及删除等关键操作。
1、右键目标文件夹，进入“属性”→“安全”选项卡。
2、点击“编辑”→“添加”，在对象名称框中输入指定用户名（如“UserA”）或组名（如“Users”）。
3、点击“检查名称”确认有效性，点击“确定”。
4、在下方权限列表中，为新添加的用户取消勾选“读取和执行”、“列出文件夹内容”、“读取”及“写入”四项；确保“拒绝”列对应权限显示为“是”。
5、点击“应用”→“确定”；操作完成后，未被明确授予权限的用户尝试访问该文件夹时将收到“拒绝访问”错误提示。
