BitLocker是Windows专业版及以上系统内置的全盘加密功能，使用AES算法加密磁盘数据，需TPM 2.0或USB密钥支持，家庭版不支持；自Windows 11 24H2起新装系统默认启用，要求UEFI安全启动，恢复密钥必须本地备份以防账户异常导致解密失败。
当你发现有人能插个U盘进电脑、重启几下就直接打开你的C盘复制全部工作文档和隐私照片，而你设置的Windows登录密码形同虚设时，问题不在密码本身，而在硬盘数据未加密——PE环境绕过的是操作系统层认证，不是硬盘访问权限。
启用BitLocker全盘加密（必须有TPM 2.0或USB密钥）
第一步：右键“此电脑”→“管理”→左侧“设备管理器”→展开“安全设备”→确认存在“受信任的平台模块 2.0”。没有该条目，说明主板不支持TPM 2.0或被禁用，需先进BIOS开启Secure Boot和TPM。
第二步：右键C盘→“启用BitLocker”→勾选“使用密码解锁驱动器”→输入强密码（至少8位含大小写字母+数字）→点击“下一步”。
第三步：必须选择“将恢复密钥保存到文件”，存到手机或打印出来；【切勿只选“保存到Microsoft账户”】——若网络异常或账户异常，你将永久失去解密能力。
第四步：勾选“加密整个驱动器”（不能选“仅加密已用空间”，否则残留数据仍可被PE读取）→点击“开始加密”。首次加密耗时较长，可后台运行，但期间不可强制关机。
没有TPM 2.0？用启动密码+BitLocker USB密钥双保险
方法一：进入BIOS/UEFI → 找到“Security”或“Advanced”选项卡 → 启用“Secure Boot”并关闭“Legacy Boot” → 保存退出。这一步是前提，否则BitLocker无法启用USB密钥模式。
方法二：在BitLocker启用向导中，当提示“无法使用TPM”时，按Win+R输入gpedit.msc → 计算机配置→管理模板→Windows组件→BitLocker驱动器加密→操作系统驱动器→双击“配置TPM启动PIN”→启用→选择“允许启动PIN与USB闪存驱动器结合使用”→确定。
方法三：准备一个空U盘（FAT32格式），插入后回到BitLocker向导→选择“插入USB闪存驱动器”→系统会自动将启动密钥写入该U盘→拔出后务必单独保管。下次开机，必须插上该U盘+输入PIN才能进入系统，PE环境连硬盘分区表都识别不了。
彻底阻断PE对C盘的可见性（高风险操作）
这一步会让所有PE工具（包括微PE、老毛桃、电脑店）启动后完全看不到C盘，但也会导致Windows更新失败、部分驱动安装报错，仅推荐技术用户谨慎使用。
以管理员身份运行CMD → 输入diskpart → list disk → select disk 0（确认是系统盘）→ list partition → select partition 1（通常是EFI系统分区）→ assign letter=S → select partition 2（主系统分区）→ remove letter=C → exit。
此时C盘在Windows里会显示为“无字母驱动器”，但在磁盘管理中仍可见；PE启动后因依赖标准盘符识别，多数工具将跳过该分区。注意：【执行前必须确保已启用BitLocker且有可用恢复密钥】——否则你将无法在Windows内重新挂载该分区，只能重装系统。
