Windows数据加密与权限隔离需分层实施：EFS用于文件级加密，BitLocker保障全盘安全；UWP应用须调用DataProtectionProvider加密本地数据；多用户环境依赖NTFS权限与组策略隔离；企业级需透明加密软件实现统一管控。
windows 环境下实现数据存储加密与权限隔离，关键在于分层设计：既要利用系统原生机制保障基础安全，又要结合场景补充细粒度控制。不依赖第三方工具也能达成可靠防护，但需明确不同层级的适用边界和配置前提。
本地存储加密：EFS 与 BitLocker 的分工
EFS（加密文件系统）适用于单个文件或文件夹的按需加密，依赖 NTFS 分区和用户证书，加密后仅本账户可访问（重装系统或更换账户需提前备份证书）。BitLocker 则面向整个驱动器或固定磁盘，提供全盘加密+TPM 芯片绑定，适合设备丢失防护。两者不可混用同一文件——EFS 加密的文件放在 BitLocker 启用的盘上，会叠加两层保护，但解密流程互不影响。
- EFS 操作路径：右键文件/文件夹 → 属性 → 高级 → 勾选“加密内容以保护数据” → 确定
- BitLocker 启用条件：专业版/企业版 Windows、NTFS 格式、主板支持 TPM 2.0（或手动关闭 TPM 要求）
- 注意：家庭版 Windows 不支持 EFS 和 BitLocker，需升级或改用开源替代方案（如 VeraCrypt）
UWP 应用数据隔离：沙箱内的加密实践
UWP 应用默认运行在严格沙箱中，数据天然隔离。其三种存储位置需配合加密 API 使用才能真正防泄漏：
-
LocalFolder：适合存敏感配置或用户数据，需调用
DataProtectionProvider对内容加密后再写入，避免明文落盘 - LocalCacheFolder：缓存类数据可先 AES 加密再保存，系统清理时密文同样被清除，无残留风险
- TemporaryFolder：仅用于临时密钥或会话令牌，生命周期短，建议使用内存中加密而非落盘
官方 Universal Samples 中的 Scenario1_Files.xaml.cs 提供了完整调用示例，重点是加密密钥不硬编码，而由系统凭据管理器托管。
多用户/多租户权限隔离：NTFS 权限 + 组策略
在共享电脑或服务器环境中，仅靠加密不够，必须限制访问主体。NTFS 权限可精确到用户或组，对文件夹设置“读取”“修改”“完全控制”等权限，并禁用继承以避免误放行。
- 操作路径：右键文件夹 → 属性 → 安全 → 编辑 → 添加指定用户/组 → 勾选对应权限
- 进阶控制：通过组策略（gpedit.msc）启用“加密文件系统 (EFS)”策略，强制新文件自动加密；或配置“公共文件夹重定向”将用户数据映射到独立路径
- 服务器场景：WinFsp 可构建虚拟文件系统，为每个租户分配逻辑隔离视图，底层仍用 NTFS 权限兜底
企业级扩展：透明加密与外发管控
当需要统一策略覆盖全公司终端时，EFS 和手动设置已不现实。此时应引入支持透明加密的客户端软件，例如域智盾或类似方案：
- 新建/保存文档自动加密，用户无感知；内部打开正常，外发后文件在非授权设备上直接乱码
- 权限可细化至“允许打印”“禁止截图”“限定打开次数”，策略由后台统一推送
- 外发文件可生成带时效、水印、绑定设备的受控副本，脱离内网环境仍可控
这类工具通常需部署中心服务端，适配 Active Directory，不适用于纯个人场景，但能解决协作中“人管不住人”的核心痛点。
