必须开启BitLocker全盘加密才能防止PE绕过：需Windows专业版及以上、TPM 2.0已启用且状态“已就绪”，启用时须设强密码、保存恢复密钥到本地、加密整个驱动器，并推荐XTS-AES新加密模式。
要让C盘在电脑被拿走或用PE启动时彻底无法读取任何数据，必须开启BitLocker对整个系统驱动器加密，而不是只设个开机密码——后者在PE环境下形同虚设，硬盘一插就能全盘拷贝。
确认系统与硬件是否支持
按下 Win + R，输入 winver 回车，确认系统版本是 Windows 10/11 专业版、企业版或教育版；家庭版不支持，无法继续。
右键“此电脑”→“管理”→左侧“设备管理器”→展开“安全设备”，检查是否存在“受信任的平台模块 2.0”；若无，需重启进 BIOS/UEFI 启用 TPM 和 Secure Boot，并关闭 Legacy Boot 模式。
按 Win + R 输入 tpm.msc 回车，确保状态为“已就绪”且“可用”；若显示“清除的TPM”，右键选择“准备TPM”并完成初始化。
在“开始”中搜索“系统信息”，以管理员身份运行，查找“自动设备加密支持”项，其值必须为【满足先决条件】，否则 BitLocker 启用向导将不显示 C 盘选项。
通过文件资源管理器一键启用（推荐）
打开“此电脑”，右键 C: 盘 → 选择“启用 BitLocker”。
勾选“使用密码解锁驱动器”，输入至少 8 位、含大小写字母+数字+符号的强密码，两次输入必须完全一致；密码一旦遗忘且恢复密钥丢失，数据将永久不可恢复。
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
必须选择“将恢复密钥保存到文件”，存到手机、U盘（非C盘）或打印出来；【切勿只选“保存到Microsoft账户”】——网络异常、账户被锁、微软服务中断时，你将彻底失去解密能力。
选择“加密整个驱动器”，不能选“仅加密已用空间”，否则旧文件残留扇区仍可被 PE 工具提取明文。
选择“新加密模式”（默认），该模式启用 XTS-AES 算法，专为 SSD 优化，防重放攻击；点击“开始加密”，系统会提示重启，首次启动将进入预启动解密界面，输入密码后才加载 Windows。
若TPM不可用：用USB密钥+PIN双因子强制启用
方法一：先进 BIOS/UEFI，启用 Secure Boot 并禁用 Legacy Boot，这是 USB 密钥模式生效的前提，否则后续所有操作无效。
方法二：按 Win + R 输入 gpedit.msc → 计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密 → 操作系统驱动器 → 双击“配置 TPM 启动 PIN” → 启用 → 选择“允许启动 PIN 与 USB 闪存驱动器结合使用” → 确定。
方法三：插入一个空 FAT32 格式 U 盘 → 返回 BitLocker 向导 → 当提示“无法使用 TPM”时，选择“插入 USB 闪存驱动器” → 系统自动写入启动密钥 → 拔出 U 盘后务必单独保管；下次开机必须同时插上该 U 盘并输入 PIN 才能进入系统，PE 环境连磁盘分区表都识别不了。
