银河麒麟桌面操作系统V10 SP1 2403及V11支持磁盘级加密，需先启用“全盘加密”模块；敏感文件夹加密须结合LUKS分区加密或手动设置只读+隐藏权限，UKUI右键“加密”选项默认未启用。

在银河麒麟桌面操作系统V10 SP1 2403及V11中，对敏感文件夹进行加密需依赖系统级磁盘加密能力与文件管理器的权限控制组合实现，不能仅靠右键菜单“加密”选项——该功能在UKUI桌面中默认未启用，强行调用会失败。

确认系统是否支持磁盘级加密

打开“控制中心”→“安全中心”→“全盘加密”模块。若看到【启用全盘加密】按钮且状态为“未启用”，说明当前系统已内置KYSEC加密引擎，但尚未激活；若该模块完全不可见或提示“当前版本不支持”，则需先升级至V10 SP1 2403或V11版本——旧版V10 SP1（如2203）不提供用户可配置的文件夹粒度加密能力。

这一步必须完成，否则后续所有操作均无效。

使用文件管理器批量设置敏感文件夹为只读+隐藏

打开文件管理器，导航至目标敏感文件夹所在路径。

选中文件夹→右键→选择“属性”→切换到“权限”选项卡→取消勾选“允许执行此文件”和“允许写入此文件”→点击“应用”。

返回“基本”选项卡→勾选“隐藏”复选框→点击“确定”。【此操作不会加密内容，但能阻止非授权用户误打开或修改，是加密前的必要隔离动作】

通过LUKS手动加密独立分区存放敏感数据

方法一：使用图形化磁盘工具（推荐给中级用户）

打开“磁盘”应用（可在开始菜单搜索“磁盘”）→左侧选择一块**未分配空间或新建逻辑分区**→点击下方“+”号创建新分区→格式类型选择“LVM2 PV”或“Ext4”→勾选“加密此分区”→输入高强度密码（至少12位，含大小写字母、数字、符号）→确认创建。

创建完成后，该分区挂载时需输入密码，且仅当前登录用户可解密访问；其他用户即使获得物理访问权也无法绕过LUKS层读取数据。

方法二：命令行创建加密容器（适合高级用户）

打开终端，执行：sudo cryptsetup luksFormat /dev/sdXn（将sdXn替换为实际设备名，如sdb1）→连续两次输入密码→执行sudo cryptsetup open /dev/sdXn sensitive_vol→执行sudo mkfs.ext4 /dev/mapper/sensitive_vol→执行sudo mkdir /mnt/sensitive && sudo mount /dev/mapper/sensitive_vol /mnt/sensitive。

【警告：luksFormat操作不可逆，执行前务必确认设备路径正确，输错可能导致系统盘被格式化】