前阵子帮一个朋友处理电脑故障，他说Win10开机密码忘了，让我做个PE启动盘，用清除开机密码的工具把密码干掉。我当时满口答应，想着这活我干过不下十次，轻车熟路。结果进PE之后傻眼了：密码工具启动正常，可它就是找不到系统盘里的SAM文件，整个C盘在工具看来要么是空的、要么被锁死。来回折腾了半小时我才注意到，这台电脑做了BitLocker全盘加密。
这其实是这几年Win10电脑非常普遍的坑，尤其是品牌笔记本。原厂系统很多默认开了设备加密，本质就是BitLocker。所以这篇笔记我打算把围绕Win10 BitLocker的这些破事讲透：为什么它能让清密码工具失效、加密到底改变了什么、遇到磁盘无法扩容或者重装系统时应该怎么办，以及那个48位的恢复密钥为什么是你的保命符。内容适合自己电脑开了BitLocker的人、准备重装系统的人，也包括在二手笔记本上栽过跟头的朋友。
1. 加密的电脑，为什么所有清密码工具集体失效
1.1 清密码工具的工作原理
先说说大家熟悉的“清除开机密码工具”是怎么工作的。这类工具一般是做一个PE启动U盘，从U盘启动到一个迷你Windows环境，然后运行工具读取硬盘系统盘里的注册表配置单元（Registry Hive），找到存储用户密码哈希的SAM文件（Security Account Manager），把密码哈希清空或者改成空值。这样重启进入系统时，Windows发现密码被清空，就会直接放行登录。整个过程依赖一个前提：能够直接读写系统盘上的SAM文件。
这个前提在普通电脑上完全成立，因为NTFS分区是明文存储的，PE环境可以挂载它，工具也能找到文件路径。可一旦电脑做了BitLocker全盘加密，情况就完全不同了。
1.2 全盘加密下，SAM文件就是一堆密文
BitLocker全盘加密的含义是：系统盘上的每个数据扇区，事先已经用加密算法写入了密文。PE启动后，没有经过正常Windows引导流程，BitLocker的解锁机制（后面细讲）没有被触发，所以PE根本拿不到解密密钥，它看到的C盘不是真实数据，而是一整卷密文。
很多工具显示“找不到操作系统”或者“无法定位SAM文件”，原因就在这里。工具自己看不到明文，自然无从改起。就算你是高手，手动挂载注册表配置单元，也会发现文件头、内容全部异常，根本无法解析。所以热搜词那句话说得非常直白：“这台电脑有bitlocker全盘加密！普通的清除开机密码工具全部无效。”
我当时实测还发现一个更坑的现象：部分PE工具会弹出“BitLocker加密卷”的提示框，但只会让你输入恢复密钥或者密码，输入不了就什么都干不了。所以本质上，这个问题从“清除密码”变成了“是否有恢复密钥”，而不是“工具够不够强”。
1.3 快速确认自己的电脑是否处于加密状态
被坑过一次之后，我现在拿到任何Win10电脑的第一件事，就是查BitLocker状态。最简单的方式有两种：
第一种：打开“控制面板”，找到“BitLocker驱动器加密”，能看到所有分区的加密状态。如果显示“BitLocker已启用”或“等待激活”，那就是开了。
第二种：在“命令提示符（管理员）”里输入：
manage-bde -status输出结果里会列出C盘、D盘等所有卷的加密状态，比如“已用BitLocker进行加密”或者“正在解密”。这个命令在PE下也可以运行（需要WinRE或者带管理工具的PE），所以排查问题的时候也很方便。
但这里有个非常容易误判的情况：Win10家庭版。家庭版没有完整的BitLocker管理面板，但不少品牌笔记本支持“设备加密”，功能本质就是BitLocker。你在控制面板里可能看不到“BitLocker驱动器加密”选项，看到的是“设备加密”设置项，甚至什么都不显示。这时候不要想当然觉得“我没开过”，用manage-bde -status看一眼最靠谱。
2. BitLocker到底加密了什么：从开机引导到C盘数据
2.1 密钥体系：FVEK、VMK、恢复密钥，谁保护谁
很多朋友一听到“加密”就以为BitLocker是给文件加了密码，其实没那么简单。BitLocker是一整套密钥体系，理想状态下由三层构成：
最底层是FVEK，全卷加密密钥，真正负责加密每一个扇区数据的对称密钥，默认AES-128，可通过组策略改成AES-256。
中间层是VMK，卷主密钥，它的职责是保护FVEK。FVEK被VMK加密后存放在卷上，随便谁都能读到，但没有VMK就解不开。
最外层是VMK的保护方式，通常有以下几种：
- TPM芯片密封：VMK与TPM绑定，只要系统引导链没变，TPM会自动释放VMK。
- TPM+PIN：除了TPM还需要输入PIN码。
- 密码保护：使用密码来解锁VMK，常见于移动驱动器。
- 恢复密钥：那48位数字，本质上就是一把绕过TPM/PIN的备用钥匙，能解锁VMK。
你可以这样理解：数据放在一个大保险柜里（FVEK），保险柜钥匙（VMK）又锁在一个小盒子里，TPM和恢复密钥是打开小盒子的两条路。正常人开机，系统通过TPM这条路自动开盒子拿钥匙；TPM这条路走不通，你就得手动输入48位恢复密钥来开门。
2.2 加密后开机引导与解锁流程
BitLocker加密的系统分区，开机流程是这样的：
- 设备通电，UEFI固件执行自检。
- UEFI引导模块读取EFI系统分区中的引导程序。
- Windows Boot Manager发现BitLocker加密的卷，开始调用TPM验证引导环境。
- 如果TPM密封值匹配（引导文件、BIOS设置没有变化），TPM自动释放VMK，VMK解密FVEK，系统正常启动。
- 如果TPM校验失败，比如有人动了硬盘、刷了BIOS、改了启动顺序，系统会直接进入恢复模式，要求你输入48位恢复密钥。
关键点在这里：从PE启动时，UEFI引导链根本没有进入Windows Boot Manager，TPM不会参与，所以TPM不会自动释放任何密钥。PE环境里的工具面对的是没有解锁的密文卷。这就是为什么从PE启动后，BitLocker分区就像一块被焊死的硬盘。
2.3 加密卷的实时状态：后台加密与“解密中”
BitLocker开启和关闭都不是瞬间完成的，而是后台渐进式处理。开启时，系统先把新写入的数据即时加密，同时后台持续扫描已有数据块逐一把明文转换为密文。所以磁盘空间不会因此变少，但在加密完成之前，一部分数据是明文、一部分是密文，整体状态显示为“加密进行中”。
关闭时同理，系统先停止加密保护，再把所有密文数据逐步解密回明文，期间显示“解密进行中”。这时候盘上虽然还有锁的图标，但你要耐心等，不能以为重启一下就完事了。我见过有人看解密太慢，直接进PE格盘重装，结果发现数据没保存，欲哭无泪。
另外，加密状态下系统盘的读写性能会有小幅下降，主要是每个数据块读写都要过一遍AES加解密。对现代NVMe固态盘来说，这点损耗很难感知；但对于老旧的机械硬盘或者低端SATA盘，差别会比想象中明显。
3. 磁盘无法扩容？重装系统前先搞懂这三件事
3.1 BitLocker加密后“C盘扩展卷是灰色”的完整处理链路
我经常收到类似的提问：“C盘空间快满了，磁盘管理里扩展卷是灰色的，点不了，怎么办？”十有八九和BitLocker有关。
原因是双重的。第一，磁盘管理工具本身不对处于加密锁定状态的卷提供调整大小的功能，因为直接改卷大小很可能破坏加密元数据，Microsoft索性把这个能力禁用了。第二，“扩展卷”还有一个硬性要求：目标分区的右侧必须有紧邻的未分配空间。如果C盘后面紧跟着D盘或者恢复分区，即便没加密，扩展卷同样灰色。但更多人遇到的情况属于前者，因为打开BitLocker之后，卷状态变成了“已锁定”。
正确的处理流程如下：
- 先确认恢复密钥已经备份（这一步千万不能跳，后面会展开讲）。
- 关闭BitLocker。控制面板路径：BitLocker驱动器加密 → 关闭，或者命令行：
这个命令是异步的，输入后系统开始后台解密，没有任何百分比提示，可以用manage-bde -status查看进度。manage-bde -off C: - 等待状态变成“已解密”或“已关闭”。这个过程可能长达一两个小时，具体看盘的大小和数据量。
- 回到磁盘管理，右键C盘，扩展卷不再是灰色，正常分配空间即可。
有人会问：能不能用DiskGenius这类第三方工具直接在加密状态下扩容？我试过在BitLocker锁定的卷上调整大小，确实部分新版本工具支持解锁后操作，但风险很大。一旦在调整过程中触发了BitLocker的保护逻辑，开机就会提示输入恢复密钥，如果密钥没备份，整个盘的数据就处于可读但解不开的状态。我的建议是：数据安全第一，非紧急情况不要走这条捷径。
3.2 重装Win10前：解密、备份还是直接推倒重来
BitLocker加密系统重装系统，得分两种情况看。
如果你不需要保留C盘里的任何文件，那就简单了：直接用安装U盘启动，进入安装界面，选择“自定义安装”，把所有分区全部删除再重新分区，原加密卷本身会被卸载并重建。因为BitLocker加密的是卷内的文件数据，分区表和EFI引导分区并没有加密，删除分区的动作不会受到加密阻碍。但是注意，分区一删，里面的数据相当于彻底作废，什么恢复工具都救不回，因为解密密钥已经被销毁，密文变成无意义数据。
如果你需要保留文件再重装，那就必须先解锁或解密。实际操作中有一个常见的尴尬：有些人以为“覆盖安装”或者“升级安装”能保留数据，但在BitLocker加密卷上，Windows安装程序往往拒绝继续，提示“无法在此驱动器上安装Windows”或者“检测到BitLocker驱动器，请先解除锁定”。这时候要么进入系统内关闭BitLocker，要么用恢复密钥在PE下解锁后再试。千万别在安装程序里强行格式化，数据会直接没。
还有一种品牌机的特殊情况：很多联想、戴尔、惠普的笔记本电脑，出厂就默认开了设备加密。你买回来重装系统，如果遇到安装程序提示分区无法写入、或者装到一半蓝屏，先去BIOS里确认有没有BitLocker相关的TPM设置，再回来处理加密状态，往往问题就解决了。
3.3 manage-bde命令速查：关闭解密、查看状态、挂载解锁
平时维护BitLocker系统，我最常用的几个命令整理如下，都是管理员权限下执行：
| 操作 | 命令 |
|---|---|
| 查看所有卷加密状态 | manage-bde -status |
| 关闭BitLocker（开始解密） | manage-bde -off C: |
| 暂停解密/加密，方便后续操作 | manage-bde -pause C: |
| 恢复解密/加密过程 | manage-bde -resume C: |
| 用恢复密钥解锁某个卷 | manage-bde -unlock E: -RecoveryPassword 123456-123456-123456-123456-123456-123456-123456-123456 |
| 用密码解锁某个卷 | manage-bde -unlock E: -Password |
| 查看保护方式（TPM、PIN、恢复密钥等） | manage-bde -protectors -get C: |
其中解锁命令在PE环境下特别有用。如果你想在PE里拷贝加密盘的数据，可以先用这条命令把卷解锁，解锁后文件资源管理器就能正常读取内容了，前提是你手头有恢复密钥或密码。
4. 恢复密钥就是保命符：丢了密码，它能把系统捞回来
4.1 恢复密钥是什么，什么时候会用到
恢复密钥是一串48位的数字，分为8组、每组6位，样式是：123456-123456-123456-123456-123456-123456-123456-123456。这串数字在启用BitLocker时生成，是绕过正常解锁流程的最后一把钥匙。
常见需要恢复密钥的场景包括：
- 开机进入蓝色恢复界面，提示“输入恢复密钥以继续”。
- BIOS升级、TPM固件升级、清空CMOS之后，TPM密封值变化，自动解锁失效。
- 更换主板或者把硬盘插到另一台电脑上。
- BitLocker加密的U盘或移动硬盘忘记密码，在别的电脑上解锁时。
- 前面提到的，在PE下用manage-bde -unlock解锁加密卷。
你可以发现，所有这些场景都有一个共性：“正常开锁方式失效了”。所以恢复密钥不是日常用的，而是故障时用的。它本身不占据TPM资源，也不会因为密码修改而改变。
4.2 恢复密钥都在哪里：微软账户、文件、U盘、打印件
启用BitLocker时，系统会强制要求你保存恢复密钥，通常给几个选项。不同人点的不同，密钥存放位置也不一样。
我自己最推荐也最常见的路径是“保存到Microsoft账户”。只要你的Win10系统登录了微软账户，重启后登录 https://account.microsoft.com 中的“设备”页面，就能看到这台电脑的恢复密钥列表。这个方案的优点是异地保存，即使电脑硬盘报废，只要还能登录微软账户，密钥就在。
其次常见的是“保存到文件”，系统会生成一个.txt格式的文本文件，文件名类似“BitLocker恢复密钥电脑名.txt”。打开就能看到48位数字。如果你当时存到了U盘或者网盘，那也算有备份。
再就是“打印出来”。以前很多政府、企业电脑要求打印纸质密钥存档，因为纸张不受电力和系统故障影响。个人用户很少选这个，但我实测下来，这张纸放在家里抽屉里，是最不容易丢的备份方式。
最后一个容易被忽略的路径：企业电脑。如果你的电脑是公司发的，BitLocker恢复密钥默认会同步到域控（AD）里，找回需要联系IT管理员。很多人离职后自己重装公司电脑，发现BitLocker锁死了，从微软账户找不到密钥，因为企业版默认存到AD了。遇到这种情况别硬折腾，找原公司IT管理员要一下就行。
4.3 启用BitLocker前先做好的三件备份
我的习惯是，在做任何涉及BitLocker的操作前，花三分钟确认密钥在不在，并做三道备份：
- 一条存微软账户（在线可用）。
- 一个.txt文件放到另一台电脑或者NAS上（本地异地）。
- 打印的纸质副本放抽屉（离线物理备份）。
有人觉得三道备份太夸张，但我见过太多因为恢复密钥丢失而全盘报废的例子。BitLocker的加密强度是公认的，没有恢复密钥，专业数据恢复公司也基本没辙，因为这是数学层面的强度，不是技巧层面的锁。网上那些吹“解锁BitLocker工具”的基本上都是骗人，没有密钥只能碰运气做暴力破解，AES-128/256暴力破解的算力需求是天文数字，个人电脑跑几十年都出不了结果。
顺带提醒一个细节：恢复密钥没法手动修改。你要是怀疑密钥泄露了，正确做法是关闭BitLocker，然后重新开启，让它生成一组新密钥。不能直接在原有密钥上“换一组数字”。
5. U盘加密和跨平台那点事：BitLocker To Go的便利与局限
5.1 给U盘加密是最简单的BitLocker入门操作
BitLocker不仅能加密系统盘，还能加密U盘、移动硬盘，微软管这个叫BitLocker To Go。操作很简单：右键U盘盘符，选择“启用BitLocker”，系统会提示设置密码，确认保存恢复密钥，然后开始加密。
加密完成后，把U盘插到Win10电脑上，资源管理器会提示你需要输入密码才能访问。输入正确密码后，U盘解锁，正常读写。这个功能对于经常带U盘跑业务的人来说非常实用，U盘丢了也不怕里面数据被人拿走。从安全角度看，U盘加密比系统盘加密还重要，因为系统盘主要在你自己手里，U盘却经常在不同电脑间插来插去。
不过我也得说句公道话：BitLocker To Go对U盘的读写性能会有影响。老U盘本身读写就慢，加密后更明显，拷贝大文件的速度可能掉个两三成。如果U盘里只放些共享文档，影响不大；如果用来做WinPE装机盘或者装系统镜像，建议还是不要加密。
5.2 统信UOS解锁BitLocker加密U盘的实测感受
这几年国产操作系统用得越来越多，热词里“统信uos解锁bitlocker加密u盘”上榜一点不意外。我自己在统信UOS的新版本上实测过，插上BitLocker加密的U盘后，文件管理器能识别出加密设备，并弹出解锁提示，输入密码之后可以正常浏览内部文件，部分版本也支持写入。这个功能是从2022年以后的版本逐步集成的，如果你用的是很老的UOS版本，插上不识别属于正常现象，升级系统或换新版本即可。
这对跨平台办公是个好消息。之前很长一段时间，BitLocker加密的U盘在Linux和macOS上都是大麻烦，统信UOS能直接解，确实省事不少。但要注意一点：统信UOS解锁BitLocker的原理是自动检测并调用相应工具，不是完整的BitLocker管理功能，所以如果你在UOS上手动关闭了加密或修改了保护方式，可能会造成一些兼容性差异。最稳的做法是在Win10电脑上把BitLocker管理好，UOS只负责日常解锁读写。
5.3 跨平台使用前想清楚：对方能打开吗
如果你经常需要把U盘插到苹果电脑、Linux电脑或者别人的手机上，我建议你在加密之前认真问自己一句：对方能打开吗？
实测下来，macOS原生不支持BitLocker加密卷，需要安装第三方付费软件才能解锁。Linux普通桌面系统原生也不支持，需要用到dislocker这类命令行工具，没点动手能力的人真折腾不来。手机就更不用说了，iOS和安卓都没有原生BitLocker支持。
所以BitLocker To Go适合的场景是：你只在Windows设备之间传文件，或者你愿意承担第二个设备打不开的风险。如果要给对方拷个课件、发个资料包，更推荐的方式是压缩包加密（比如7z加密码），或者干脆走云盘分享链接。等你哪天收到一个BitLocker加密U盘、对方又没有一键解锁的软件，你就能理解我这个建议的含金量了。
6. 这些年被BitLocker坑过的经验和避坑清单
6.1 最常见的三个误区：没开过、看不见、解不开
平时在网上看大家讨论BitLocker，翻来覆去就三个误区。
第一，“我没开过BitLocker”。刚才说过，品牌机默认设备加密太多了，尤其Win10家庭版的现代待机设备，出厂时就开启了加密，你根本没有任何“启用”操作。你觉得自己没开，是错觉。
第二，“开机没提示就是没加密”。在TPM自动解锁模式下，系统开机过程和没加密一样流畅，不会弹任何密码框。但这不意味着没加密，只是TPM在后台把锁自动打开了，数据依然是密文状态。
第三，“网上工具能解开”。这是最危险的误区。加密的强度决定了没有密钥就没法硬解，那些号称“BitLocker解锁工具”的软件，要么是让你输恢复密钥的界面，要么根本处理不了TPM保护的卷，要么就是套壳钓鱼。把时间花在找恢复密钥上，比下载任何工具都有效。
6.2 避坑清单十件事
如果你决定在Win10电脑上使用BitLocker，或者你的电脑已经被默认开启了BitLocker，下面这些事项请逐条对照，都是实操换来的教训：
- 新电脑到手第一件事：运行manage-bde -status查看加密状态，心里有数。
- 如果确认已加密，先把恢复密钥保存到微软账户，并打印一份纸质副本。
- 修改BIOS设置、升级固件、更换硬件之前，先确认恢复密钥可用，否则TPM一变就会锁你。
- 系统盘扩容之前，先关闭BitLocker等待解密完成，再操作磁盘管理。
- 重装系统要保留文件时，先解锁或解密，再把安装U盘插进去。
- 重装系统不需要保留文件时，直接删分区重建即可，但删除后数据无法恢复。
- 不要用未经证实的第三方分区工具，直接在加密卷上调整大小。
- 忘记开机密码时，先找恢复密钥，而不是浪费时间折腾PE清密码工具。
- 给U盘加密前，确认接收方用什么系统，避免对方打不开。
- 关闭BitLocker需要耐心，几百GB数据解密一小时以上很正常，别中途强断电。
6.3 我的个人习惯：什么时候开、什么时候不开
操作过这么多台电脑，我自己对BitLocker的态度其实很中立。它是个防丢失的好工具，但也带来了日常维护的额外复杂度。我的习惯是这样：
工作笔记本、商务本：开。因为丢了电脑或者被偷，数据泄露的损失远大于加密带来的性能损耗。开之前一定确保恢复密钥存微软账户加打印件。
家用台式机、老机器、纯娱乐设备：不开。这种设备性能一般，数据也谈不上特别敏感，开不开都无所谓，不开反而省事，扩容、重装、清密码都方便。
临时给别人用的电脑：不开。因为对方不懂BitLocker，一旦出了状况，所有责任都会堆到你头上。我曾经给一台借给朋友用的笔记本开了BitLocker，结果他自己修改了BIOS设置，开机直接进入恢复界面，又没保存恢复密钥，最后只能重装系统。从那以后，借出去的电脑我都不开BitLocker，实在要保障文件安全，就单独加密某个数据盘，而不是整盘加密系统。
最后再分享一个小技巧：如果你不确定自己是否要开BitLocker，可以先在数据盘（比如D盘）上试一次完整流程——开启、解锁、关闭。走完一整个生命周期以后，你对恢复密钥的概念、解密时长、性能影响都会有真实体感，再决定要不要加密系统盘。毕竟工具这东西，用过一遍才真正算是自己的经验。
