win10文件加密要用EFS吗?文件加密属性变灰的处理方法

很多人以为在属性里点一下文件加密，勾上「加密内容以便保护数据」，文件就变成要输密码才能开。其实 EFS 用的是你账户的证书和私钥，开机登录之后自动解密，别人换个账户或把盘拆走才打不开。它也不给你单独设一个打开密码，那套是压缩软件的活儿。真正要先想清楚的是另一件事：私钥丢了，文件就永久打不开，重装系统前必须导出证书。搞明白这一点，再决定这个勾要不要打。

属性 → 常规 → 高级，加密那一栏是灰的，点不动，旁边也没写原因。不是系统抽风，是这台机器或这块盘不满足条件。

先对齐版本和文件系统

EFS 只在专业版、企业版、教育版提供，家庭版没有这个功能，属性里那一项永远是灰的。查版本：设置 → 系统 → 关于，看「版本」那一行；或者 Win+R 输入 winver，弹窗里写得更清楚。

文件系统必须是 NTFS。FAT32 和 exFAT 的 U 盘不支持，右键那块盘看属性就知道。想把 U 盘改成 NTFS 得格式化，里面的数据先挪出来，别为了加密直接格盘——加密是为了保护数据，格盘先把数据没了。

公司电脑还有第三道限制：组策略可能禁用了 EFS。这种情况下选项也是灰的，而且改注册表会被策略刷回去，只能找管理员确认。判断办法是拿一个 U 盘格式化成 NTFS 再试，如果 U 盘上能勾、本机盘不能勾，基本就是策略在管。

高级属性里勾加密

右键文件 → 属性 → 常规页右下「高级」，勾上「加密内容以便保护数据」，确定，再回到属性窗口点应用。文件名的字会变成绿色，这是加密成功的标记，看着别扭但正常，不是中毒。

加密之后你自己用完全没感觉，双击就开。换个账户登录，或者把硬盘挂到别的机器上，才会提示没有访问权限。这正是它的设计目标：防的是离线拿走硬盘的人，不是防登录之后的你。

想让绿色字恢复正常颜色，可以在文件夹选项里取消「用彩色显示加密或压缩的 NTFS 文件」，这只是视觉变化，不影响加密状态，也不影响别人能不能打开。

文件夹加密的两种范围

对文件夹加密时，系统会追问一句：只加密这个文件夹，还是把里面的子文件夹和文件一起加密。选前者，之后新建的文件不会自动加密；选后者，已有内容全部加密，新建的也自动加密。

选错了不用重来，再进一次高级属性改范围即可，系统会在后台逐个处理文件。文件多的时候进度条走得慢，中途别强制关机，容易留下半加密状态的残留，那种文件最麻烦。

把加密文件复制到不支持 EFS 的盘，加密属性会丢，目标文件是明文。移动数据前先确认目标盘是 NTFS，否则等于自己把锁拆了。

证书和私钥必须备份

这一步比加密本身更重要。Win+R 输入 certmgr.msc，进「个人 → 证书」，找预期用途写着「加密文件系统」的那张，右键 → 所有任务 → 导出。向导里一定要选「是，导出私钥」，格式选「个人信息交换（PFX）」。

导出时设一个强密码，PFX 文件存到另一块盘或者 U 盘上，别跟加密文件放一起。重装系统、换账户、误删证书之前，这份备份是唯一能救回文件的东西。只记住账户密码没用，EFS 认的是私钥。

微软账户登录的机器，证书可能跟着账户漫游，但别把希望寄托在这上面。自己导一份，存在离线介质上，是最稳的做法。

cipher 命令行查看与操作

命令行能看清状态：cipher /c "D:\资料\a.txt" 会列出文件对哪些账户加密。加密整个目录用 cipher /e /s:D:\资料，解密用 cipher /d /s:D:\资料，加 /a 表示只处理文件不处理目录。

输 cipher 不带参数，会列出当前目录每个文件的 U 或 E 标记，U 是未加密，E 是已加密。这条命令在家庭版也能跑，但只能看不能改，遇到「不支持所请求的操作」就是版本限制。

批量加密前先在测试目录跑一遍，确认参数没写错。/s 会把子目录一起卷进去，路径写错一个字母就是另一个目录，命令不带确认提示。

和压缩、BitLocker 的关系

同一个文件不能既压缩又加密，NTFS 压缩和 EFS 互斥。勾了加密再勾压缩，系统会提示二选一。真要省空间，把不敏感的大文件放另一个目录压缩，别在加密目录里折腾。

整盘保护是 BitLocker 的活儿，跟 EFS 不是一回事。BitLocker 锁的是整个卷，开机前要验证；EFS 锁的是单个文件，跟着账户走。两个都开不冲突，但没必要同时用在同一批数据上，管起来容易乱。

最后提醒一句：EFS 不加密文件名，别人看到的是文件名的清单，只是打不开内容。文件名里如果带敏感信息，这一层得另想办法，比如改成无意义的编号。

勾加密之前先把证书导出来，导完再动文件；这一步花两分钟，能省掉以后打不开的整盘数据。