efs加密需满足ntfs格式、本地管理员账户设密码、及时备份.pfx证书三大前提，否则重装系统后文件永久无法解密；压缩包加密必须勾选“加密文件名”，bitlocker启用前须卸载虚拟卷并单独保存恢复密钥。
电脑文件夹加密后仍被他人打开、重装系统后数据彻底打不开、U盘插到另一台电脑就失效——这些问题都源于加密机制与使用条件不匹配。必须根据加密方式的底层依赖，提前堵住每个可能的失效缺口。
确认并满足EFS加密的硬性前提
第一步：右键目标文件夹→“属性”→“高级”，勾选“加密内容以便保护数据”前，先检查磁盘是否为NTFS格式。右键该驱动器→“属性”，若“文件系统”显示为FAT32或exFAT，【EFS将完全不可用，点击确定也不会生效】。
第二步：确保当前账户是本地管理员账户且已设置登录密码。若使用微软账户登录但未在Windows中设置本地PIN或密码，EFS加密会静默失败——文件夹名称不会变绿，属性里也查不到加密标记。
第三步：加密完成后，立即备份EFS证书。弹出“加密警告”时必须点“现在备份”，导出.pfx文件并保存至U盘（不可仅存桌面或同一硬盘）。【未备份证书=重装系统或用户配置损坏后，所有EFS加密文件永久无法解密】。
压缩包加密必须启用“加密文件名”
方法一：用7-Zip加密打包
右键文件夹→“7-Zip → 添加到压缩包…”→格式选“.7z”→切换到“加密”选项卡→输入密码→务必勾选“加密文件名”。不勾选此项，压缩包即使有密码，别人也能用十六进制编辑器或7-Zip命令行直接读取内部文件列表和路径结构。
方法二：用WinRAR加密打包
右键文件夹→“添加到压缩文件…”→点击“设置密码”→输入密码→在弹出窗口中勾选“加密文件名（强烈推荐）”。WinRAR默认不启用此选项，漏选等于只锁了门，窗户大开着。
BitLocker加密需绕过两个典型陷阱
① 驱动器必须是NTFS且未被其他加密软件占用。若此前用VeraCrypt挂载过该盘符，或用第三方工具写入过隐藏分区，BitLocker启用时会报错“无法初始化加密”。此时需先卸载所有虚拟卷、删除残留分区表项，再重试。
② 恢复密钥必须脱离系统单独保存。启用过程中选择“将恢复密钥保存到文件”后，立刻把生成的txt文件复制到手机或打印出来。若只点“保存到Microsoft账户”，而账户又因网络或认证问题无法登录，则整个驱动器将无法解锁。
③ BitLocker对移动硬盘启用时，必须勾选“启用兼容模式”。否则在Windows 10旧版本或部分Linux系统下识别为RAW分区，显示“需要格式化”。
NTFS权限限制不是加密，但能防误触
右键文件夹→“属性”→“安全”→“编辑”→“添加”，输入要限制的用户名（如“Guest”或“StandardUser”）→在下方权限框中，取消勾选“读取和执行”“列出文件夹内容”“读取”。
这一步不会加密数据，但能让非授权用户双击文件夹时直接提示“拒绝访问”。注意：【管理员组成员不受此限制，仍可绕过查看】。适合家庭多用户共用一台电脑，防止孩子或访客误开敏感资料。
彻底删除原文件，防止残留泄露
第一步：完成7-Zip/WinRAR加密打包后，选中原始文件夹→按Shift+Delete强制删除。
第二步：清空回收站。右键“回收站”→“清空回收站”，不能只删图标。
第三步：运行一次磁盘清理工具。右键C盘→“属性”→“磁盘清理”→勾选“临时文件”“缩略图”“回收站”→确定。某些缓存文件可能保留原始文件片段，尤其图片和文档预览缓存。
