manage-bde是无GUI环境下管理BitLocker的核心命令行工具，支持启用加密、查看状态、添加保护器及紧急解锁；执行manage-bde -status可查各卷加密与保护状态，若显示“Protection Off”且“Key Protectors: None”则卷无法访问；系统盘启用需先manage-bde -on C:再立即add恢复密码，否则启动需手动输入；数据盘可选USB启动密钥或密码加密；锁定卷可用-recoverypassword临时解锁。
当你需要在无图形界面的服务器环境、批量部署脚本中，或面对控制面板失效的故障系统时，必须依靠manage-bde命令行工具完成BitLocker的启用、状态核查、密钥保护器添加与恢复解锁等核心操作，它不依赖UI，直接作用于FVE驱动层。
查看当前驱动器加密状态
以管理员身份打开Windows终端（PowerShell或CMD均可），运行以下命令：
manage-bde -status
该命令会列出所有卷及其详细状态，包括加密百分比、保护程序类型、锁定状态和密钥保护器是否存在。注意：若输出中某卷显示“Protection Status: Protection Off”且“Key Protectors: None”，说明该卷虽已加密完成，但【未配置任何解锁方式，处于无法访问的悬空状态】，此时重启后将直接进入BitLocker恢复界面。
为系统盘启用BitLocker并添加恢复密码
这是最常使用的安全组合：先加密，再立即绑定可备份的恢复凭据。
第一步：执行基础加密（仅TPM）
manage-bde -on C:
第二步：立刻添加48位数字恢复密码作为主保护器
manage-bde -protectors -add C: -RecoveryPassword
命令执行后会即时生成一串形如“123456-789012-345678-901234-567890-123456-789012-345678”的密钥，并在终端中完整显示。这一步不能跳过——【若只运行-on而未-add保护器，系统盘将无法自动解锁，每次启动都需手动输入密钥】。生成后请立即将该密钥备份至微软账户或AD域控，否则丢失即永久锁死数据。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
为数据盘启用无TPM加密（USB启动密钥）
适用于没有TPM芯片的老服务器或定制工控机，要求加密过程全程可控且不依赖用户交互。
方法一：使用USB启动密钥（需提前准备U盘）
将U盘插入，确认其盘符为E: → 运行manage-bde –protectors -add C: -startupkey E: → 再运行manage-bde -on C:
方法二：强制使用密码保护（绕过TPM检测）
manage-bde -on C: -encryption AES256 -usedspaceonly -password
执行后系统会提示输入密码，该密码将在每次开机时由BitLocker预启动环境验证。注意：此方式不生成恢复密钥，一旦密码遗忘，数据不可恢复。
紧急解锁被锁定的数据卷
当系统盘正常但某数据盘显示“Locked”且无法访问时，需用恢复密钥临时解锁。
manage-bde -unlock D: -RecoveryPassword 123456-789012-345678-901234-567890-123456-789012-345678
命令成功后，D:盘将立即变为可读写状态。若需永久解除BitLocker保护，后续执行manage-bde -off D:即可开始解密。
