必须先备份efs证书密钥，因为windows 11中efs加密文件完全依赖用户绑定的证书和私钥，系统重装或故障后若未导出则文件永久无法恢复；需通过certmgr.msc或powershell导出含密码保护的.pfx文件并离线保存。
为什么必须先备份EFS证书密钥
Windows 11中启用EFS（加密文件系统）后，所有被加密的文件都依赖当前用户账户绑定的EFS证书和私钥解密；一旦系统重装、用户配置损坏或硬盘故障，而你又没提前导出证书，那些加密文件将【永远无法恢复】——连微软官方也无法绕过该机制。这不是权限问题，是密码学层面的不可逆锁定。
用certmgr.msc图形界面导出EFS证书+私钥
第一步：按 Win + R 输入 certmgr.msc 回车，打开证书管理器。
第二步：左侧展开「个人」→「证书」，在右侧列表中找到「增强型密钥用法」显示为「文件加密」的证书（通常有锁形图标，且“颁发给”是你当前用户名）。
第三步：右键该证书 →「所有任务」→「导出」→ 在向导中点「下一步」→ 选择「是，导出私钥」→ 点「下一步」→ 勾选「密码保护」并输入强密码（务必记牢！丢失即失效）→ 指定保存路径（建议存到U盘或另一台可信电脑，【绝不能只留在C盘】）→ 输入文件名（如EFS_Backup_张三_20261014.pfx）→ 完成。
用PowerShell命令行批量导出（适合管理员或脚本化场景）
方法一：导出当前登录用户的EFS证书（含私钥）
以管理员身份运行PowerShell，执行：
Get-ChildItem -Path Cert:\CurrentUser\My | Where-Object { $_.EnhancedKeyUsageList.FriendlyName -eq "File Encryption" } | ForEach-Object { $pwd = Read-Host -AsSecureString "请输入导出密码"; Export-PfxCertificate -Cert $_ -FilePath "EFS_Export_$(Get-Date -Format 'yyyyMMdd_HHmmss').pfx" -Password $pwd }
这会自动筛选EFS证书、提示输入密码、生成带时间戳的.pfx文件；若提示“访问被拒绝”，说明该证书私钥被标记为不可导出——此时你已无法补救，【立即停止加密新文件】，并检查是否曾勾选过“标记此密钥为不可导出”。
验证导出文件是否有效
双击刚生成的.pfx文件 → 点击「安装证书」→ 选择「当前用户」→「下一步」→ 勾选「如果可能，自动选择证书存储区」→ 输入之前设置的密码 → 完成导入 → 打开certmgr.msc确认新证书出现在「个人」→「证书」里，且状态正常、可查看私钥（右键→「所有任务」→「管理私钥」不报错）。
