必须在重装系统时手动配置luks+lvm结构，将/home逻辑卷单独封装进luks容器；安装后无法对已挂载的/home分区补启加密，且需先验证其是否为独立物理分区或lvm逻辑卷，再通过图形界面勾选“加密此逻辑卷”或终端预执行cryptsetup luksformat完成配置。
银河麒麟系统中给整个/home用户分区设置独立加密，需在重装系统时手动配置LUKS+LVM结构，将/home逻辑卷单独封装进LUKS容器，确保用户数据与系统根分区解耦加密——安装完成后无法 retroactively 对已挂载的/home分区启用LUKS加密。
重装前验证/home是否为独立分区
启动麒麟Live环境后，打开终端执行：lsblk -f -o NAME,FSTYPE,LABEL,UUID,MOUNTPOINT,TYPE。重点检查输出中是否存在挂载点为/home且文件系统类型为ext4或xfs的独立分区（如sda3），而非显示为/dev/mapper/vg0-home这类LVM逻辑卷路径。
若findmnt /home返回空，说明当前未挂载/home，需人工定位其设备路径；此时切勿直接点击“自动分区”，否则将触发全盘格式化。
【关键前提】必须确认/home是物理独立分区或LVM逻辑卷，LUKS无法对普通目录路径加密。
图形安装器中跳过自动分区→进入手动配置
在安装向导“磁盘分区”步骤，找到右上角或二级菜单中的“高级选项→磁盘分区”入口，点击进入手动分区界面。
安装器默认隐藏该入口，若界面上只显示“全盘安装”和“下一步”，说明UEFI/BIOS启动模式与磁盘分区表类型不匹配（如UEFI下使用MBR分区表），需重启并调整固件启动模式。
进入手动分区后，先选中目标磁盘（如/dev/sda），点击“新建分区表”清除原有结构——此操作不可逆，【务必提前备份/home内所有重要数据】。
构建LUKS封装的独立/home逻辑卷
方法一：图形界面直接创建（推荐给非专业用户）
1、在手动分区界面，右键空白区域→选择“新建逻辑卷”→挂载点设为/home→文件系统选ext4→勾选“加密此逻辑卷”复选框。
2、输入高强度密码并二次确认；密码将用于派生LUKS密钥，遗忘即永久丢失数据。
3、为根分区（/）和交换分区（swap）分别新建逻辑卷，但不要勾选加密选项——确保/boot和/能被GRUB正常读取。
4、点击“应用更改”，安装器自动执行cryptsetup luksFormat→cryptsetup open→mkfs.ext4全流程。
方法二：终端预配置（适合需审计加密参数的用户）
1、在Live环境中，用parted /dev/sda创建一个未分配空间，标记为Linux LVM类型（代码8e）。
2、执行sudo cryptsetup luksFormat --cipher aes-xts-plain64 --key-size 512 --hash sha256 /dev/sda3，输入密码完成LUKS初始化。
3、运行sudo cryptsetup luksOpen /dev/sda3 home_crypt，生成映射设备/dev/mapper/home_crypt。
4、对该映射设备格式化：sudo mkfs.ext4 /dev/mapper/home_crypt。
5、返回图形安装器，在手动分区界面选择“使用已有分区”，将/dev/mapper/home_crypt指定为/home挂载点，并取消勾选“格式化此分区”——因已在终端完成格式化。
安装后验证/home加密状态
系统首次启动进入桌面后，立即打开终端执行：sudo cryptsetup status /dev/mapper/luks-$(lsblk -f | grep '/home' | awk '{print $3}' | head -1)。
若返回中包含type: LUKS1或type: LUKS2、state: active，说明加密已生效；若提示No such file or directory，则加密未成功挂载，需检查/etc/crypttab中是否含对应条目。
执行lsblk，确认/home挂载点上游设备路径含luks-前缀（如luks-abc123...），而非直接指向/dev/sda3。
