efs是windows 11专业版及以上系统中对单个文件实施系统级透明加密的内置方案，需ntfs格式、右键属性→高级→勾选加密→仅应用于此文件，并务必导出含私钥的.pfx证书备份。
如果您希望在Windows 11中为重要文件提供系统级访问控制，防止他人在获得物理或本地账户访问权限后读取内容，则可利用内置的EFS（加密文件系统）功能实现透明加解密。该方法仅适用于专业版、企业版及教育版系统，且目标磁盘必须为NTFS格式。以下是具体操作步骤：
一、确认系统版本与磁盘格式
启用EFS前需确保操作系统支持且存储介质满足技术前提。EFS在家庭版中不可用；若磁盘为FAT32或exFAT格式，EFS选项将灰色不可选，必须先转换为NTFS。
1、按Win + R输入winver，确认系统版本为专业版、企业版或教育版。
2、右键“此电脑”→“管理”→左侧“磁盘管理”，右键目标卷→“属性”，查看“文件系统”是否为NTFS。
3、若非NTFS，以管理员身份运行命令提示符，执行：convert D: /fs:ntfs（将D:替换为实际盘符）。
二、通过文件属性启用EFS加密
此方法使用Windows原生“加密内容以便保护数据”选项，对选定文件实施基于用户证书的透明加密，仅当前登录用户可自动解密访问，其他账户即使拥有管理员权限也无法读取。
1、在文件资源管理器中定位需加密的目标文件，右键点击该文件，选择“属性”。
2、在“常规”选项卡底部，点击“高级”按钮。
3、勾选“加密内容以便保护数据”复选框，点击“确定”返回属性窗口。
4、在属性窗口中点击“应用”，系统弹出加密范围提示。
5、选择“将更改应用于此文件、子文件夹和文件”，点击“确定”完成设置。
6、加密完成后，该文件名称在资源管理器中显示为绿色，图标可能附加小锁标识。
三、立即备份EFS加密证书
EFS加密绑定当前用户的个人证书与私钥，一旦证书丢失、系统重装或用户配置损坏，加密文件将永久无法恢复。导出证书是加密流程中不可跳过的强制安全步骤。
1、按Win + R输入certmgr.msc，打开证书管理器。
2、展开“个人”→“证书”，查找颁发给当前用户名、友好名称含“EFS”的证书。
3、右键该证书→“所有任务”→“导出”，启动证书导出向导。
4、选择“是，导出私钥”，格式保持默认（PKCS #12），勾选“密码保护”并设置高强度密码。
5、指定导出路径（如U盘根目录），保存为EFS_Backup.pfx，完成导出。
四、验证加密状态与访问控制
加密生效后，应通过非目标账户验证隔离效果，确认未授权用户无法绕过系统直接访问密文内容，同时确保当前账户仍可无缝使用。
1、新建一个标准用户账户（设置→账户→家庭和其他用户→添加其他用户）。
2、切换至该新账户登录系统。
3、尝试通过文件资源管理器或命令行访问已加密文件，系统应返回“拒绝访问”错误。
4、切换回原账户，确认文件可正常打开、编辑、保存，无额外密码提示。
五、修复EFS选项灰色不可用问题
若在“高级属性”中“加密内容以便保护数据”选项呈灰色，通常因NTFS驱动器加密功能被禁用或组策略限制，需手动启用底层支持。
1、以管理员身份运行命令提示符，执行：fsutil behavior set disablelastaccess 0。
2、执行：fsutil behavior set disable8dot3 0。
3、按Win + R输入regedit，导航至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem。
4、双击右侧NtfsDisableEncryption，将其值改为0；若不存在，右键新建DWORD（32位）值并命名后设为0。
5、重启计算机，重新检查文件属性中的EFS选项是否可用。
