远程桌面凭据不工作需从账户上下文、缓存机制、协议委派和权限策略四方面排查：①用户名须用【计算机名\用户名】或【域名\用户名】格式；②清除凭据管理器中所有termsrv/开头的条目；③启用ntlm委派策略并添加termsrv/*；④授予用户“通过远程桌面服务登录”权限；⑤老旧环境可切换为“经典”安全模型。
远程桌面连接时突然弹出“你的凭据不工作”提示，明明密码没输错、网络也通，却卡在登录界面进不去目标电脑——这问题不是密码错了，而是Windows在验证环节主动拒绝了你提交的凭据，必须从账户上下文、缓存机制、协议委派和权限策略四个层面逐项排查。
修正用户名格式与账户上下文
远程桌面对用户名输入极其敏感，漏掉计算机名或域前缀会导致系统根本找不到对应用户对象，验证流程直接中断。
第一步：在mstsc连接窗口的“用户名”栏中，必须输入完整格式——本地账户用【计算机名\用户名】（例如 DESKTOP-ABC\Alice），域账户用【域名\用户名】（例如 CORP\Bob）。
第二步：若不确定目标主机的计算机名，被控端按 Win+R 输入 sysdm.cpl → 在“计算机名”字段中复制全名，注意不要带空格或括号。
第三步：手动输入用户名和密码，禁用Caps Lock，避免将数字0误作字母O、斜杠/误作反斜杠\；粘贴密码前先清空输入框，防止带入不可见空格。
清除Windows凭据管理器中的TERMSRV缓存
系统会持续复用过期或错配的远程桌面凭据缓存，覆盖你新输入的正确密码，这是最常被忽略的真凶。
方法一：按 Win+R 输入 control userpasswords2 → 点击左上角“管理你的凭据” → 切换到“Windows凭据”选项卡。
方法二：在列表中查找所有以 TERMSRV/ 开头的条目（如 TERMSRV/192.168.1.100 或 TERMSRV/SERVER01）→ 逐条选中 → 点击“删除”。
注意：删完后必须关闭所有凭据管理器窗口，再重新打开mstsc，否则缓存仍可能被后台进程调用。
启用NTLM凭据委派策略
Windows默认禁止将保存的凭据传递给仅支持NTLM协议的远程桌面服务（TERMSRV），这条安全限制会直接切断身份验证链路。
① 按 Win+R 输入 gpedit.msc（仅专业版/企业版/教育版可用）→ 以管理员身份运行。
② 依次展开：计算机配置 → 管理模板 → 系统 → 凭据分配。
③ 双击右侧“允许分配保存的凭据用于仅NTLM服务器身份验证” → 勾选“已启用” → 点击“显示”按钮。
④ 在弹出窗口中输入 【TERMSRV/*】（TERMSRV必须全大写，星号不可省略，不能写成termsrv或Termsrv）→ 连续点击“确定”保存。
⑤ 打开命令提示符（管理员），执行 gpupdate /force 强制刷新组策略，等待提示“处理完成”后再试连接。
授予用户远程登录权限
即使凭据完全正确，若目标账户未被明确赋予“通过远程桌面服务登录”权限，系统会在验证成功后立即拒绝会话建立，伪装成凭据错误。
方法1：按 Win+R 输入 secpol.msc → 展开“本地策略” → “用户权限分配” → 双击“允许通过远程桌面服务登录” → 点击“添加用户或组” → 输入目标用户名 → 确定。
方法2：若secpol.msc提示不可用（如家庭版），改用lusrmgr.msc → 左侧点“组” → 右键“Remote Desktop Users” → “添加到组” → 输入用户名 → 确定。
切换为经典安全模型（适配老旧环境）
当连接旧版Windows Server或局域网内非域环境时，“仅NTLM”模式常与默认的安全模型冲突，需强制还原为原始身份验证逻辑。
在gpedit.msc中依次展开：计算机配置 → Windows设置 → 安全设置 → 安全选项 → 找到“网络访问：本地帐户的共享和安全模型” → 双击 → 选择“经典：对本地用户进行身份验证，不改变其本来身份” → 确定。
