本地数据加密与密码保护文件夹：先备份，再上锁
电脑丢了、硬盘被拆走、借给别人用了一下午，这三种情况里，真正能保护你文件的是加密，而不是开机密码。开机密码只能挡住随手打开电脑的人，硬盘拆下来接到别的电脑上，文件照样能读。没有密码或恢复密钥，加密后的文件本身就是一堆读不懂的数据。本文按先备份、再选方案、再上锁、最后管好密钥的顺序讲清做法。系统功能以微软与苹果官方支持文档为准，核实日期为 2026-11-09。
第零步：风险提示，先读完再动手
先备份重要数据，再做任何加密操作。备份要放在另一块硬盘或另一个位置，不能和原件放在同一块盘上，否则盘坏了原件和备份一起丢。备份做法可以对照本站另一篇Windows 自动备份这样设：一次配好，以后不用管。
加密丢密码等于丢数据，这句话要放在最前面。忘了密码、丢了恢复密钥，厂商也帮你找不回来，文件基本就等于永久丢失了。加密之前，先想好密码和恢复密钥存在哪里。正在加密时不要断电、不要强制关机、不要拔掉移动硬盘，中途打断可能损坏数据。电脑已经出现异响或频繁报错时，先不要加密，先按本站另一篇硬盘或 SSD 快要坏掉的征兆：四个真实场景里最容易被忽略的信号的顺序处理。
第一步：先备份，确认备份能恢复再加密
先数一遍要保护的文件：证件扫描件、合同、财务表格、家庭照片、工作资料。把它们完整复制到另一块硬盘或 U 盘上，复制完打开几个文件确认能正常打开，并确认备份是最新的。
第二步：分清你要保护的是什么，再选方案
整台电脑都要保护，适合整盘加密；只有一个文件夹敏感，适合加密容器；只是偶尔要把几个文件拷走，适合加密 U 盘。
还要想清楚谁可能拿到你的设备：防电脑丢了被人拆盘，还是防家里人随手点开。防拆盘要靠整盘加密，防随手翻只要把敏感文件夹单独锁起来就行。
第三步：Windows 用户，先查自己能用哪种加密
Windows 有两种相关的加密。第一种是设备加密，满足条件的设备会在设置时自动开启，只加密系统盘和固定硬盘，不加密外接 U 盘，恢复密钥会自动备份到微软账户。第二种是 BitLocker 驱动器加密，需要手动开启，可以加密单个分区和移动硬盘。微软官方文档写明，BitLocker 是为整个卷提供加密的 Windows 安全功能，核实日期为 2026-11-09。
版本限制要先查：BitLocker 的手动管理功能面向专业版、企业版与教育版等版本，家庭版一般只有设备加密，核实日期为 2026-11-09。以设置里实际显示的选项为准。
第四步：给 Windows 磁盘分区上锁
先打开管理 BitLocker，找到要加密的分区，点启用 BitLocker；再选“用密码解锁该驱动器”，输入一个足够长的密码，不要用生日、电话号码或与其他账号相同的密码。
然后备份恢复密钥。微软官方文档写明，恢复密钥是一串 48 位数字密码，忘记密码时可以用它访问驱动器，核实日期为 2026-11-09。把它保存到微软账户、打印出来，或存进密码管理器，至少留两份，存放在不同的地方。
接着按界面提示选加密范围与加密模式，新磁盘一般选仅加密已用磁盘空间，用了一段时间的磁盘建议选加密整个驱动器。最后点开始加密，等它跑完，期间不要断电。完成后重启一次，确认能用密码正常解锁。
第五步：Mac 用户，用 FileVault 给启动磁盘上锁
Mac 的对应功能叫 FileVault，是系统自带的整盘加密。苹果官方支持文档写明，在带有 Apple 芯片或 T2 安全芯片的 Mac 上，数据本身已经自动加密，打开 FileVault 会再加一层保护，没有登录密码就无法解密或访问你的数据，核实日期为 2026-11-09。
操作之前同样先备份。打开系统设置，在边栏点隐私与安全性，找到 FileVault，点打开。系统会让你选择忘记密码时的解锁方式：用 iCloud 账户和密码，或者用恢复密钥，后者要把系统生成的一串字母与数字抄下来，存在电脑之外。
苹果官方支持文档明确警告：如果你打开 FileVault 之后忘记登录密码又无法重设，同时也忘记了恢复密钥，你将无法登录，文件与设置会永远丢失，核实日期为 2026-11-09。打开后要等初始加密跑完，期间不要关机；完成后重启一次确认能正常解锁。
第六步：只想锁一个文件夹，用加密容器最干净
只想锁一个文件夹时，加密容器更干净：它是在硬盘上创建一个文件，挂载后像一个普通磁盘一样使用，卸载后没有密码就打不开。跨平台的免费开源工具 VeraCrypt 就是做这件事的，支持 Windows、macOS 与 Linux，下载请认准官网。
操作顺序是：从官网下载并安装，打开后点创建卷宗，选创建加密文件容器，再选标准 VeraCrypt 卷宗。选容器文件存在哪里、起什么名字，不要选一个已经存在的重要文件，创建过程会替换它。加密算法用默认的 AES 与 SHA-512 即可，不用改。接着设定容器大小，定好后不能随意改，宁可一次给够，再设一个足够长的卷宗密码，按提示完成创建。
创建好之后，在 VeraCrypt 里选一个空盘符，选中容器文件，点挂载，输入密码，容器就像一个磁盘一样出现，文件放进去就自动加密，用完点卸载，容器就重新锁上。VeraCrypt 官网文档提醒，忘记卷宗密码就无法恢复里面的数据，核实日期为 2026-11-09。容器文件本身也要备份，不要把它长期放在正在同步的网盘文件夹里，同步冲突可能损坏容器。
第七步：密码与恢复密钥，分开存放、至少留两份
密码只靠脑子记，恢复密钥只存在一处，都是隐患。建议：加密密码用密码管理器生成并保存，每个加密位置用不同的密码；恢复密钥打印一份放在家里，再在密码管理器里存一份电子版。
不要把恢复密钥存在被加密的同一块盘里，不要把它拍成照片同步到云端。家里有人共用电脑时，要提前说清楚：这个盘加密了，别人不要替你重装系统或格式化，否则数据就没了。
第八步：日常使用与常见错误
用完就锁：加密容器用完立刻卸载，BitLocker 的移动硬盘用完立刻安全弹出，电脑离开视线就锁定屏幕。开着电脑不锁屏，等于没加密。每个季度确认备份文件还在、恢复密钥还能找到。电脑要卖、要送人、要送修之前，先解密或彻底清除，只删文件不等于清除，格式化也不等于清除，正确做法以厂商的官方清除指南为准。
常见错误也要避开：只加密了文件夹，没加密备份，备份盘里的同一份文件却是明文；密码太简单，或所有加密位置用同一个密码；把恢复密钥存在被加密的盘里，等于把钥匙锁进了保险箱；加密进行到一半就关机或拔盘；以为加密能防病毒——加密防的是别人拿到设备后读文件，电脑中了病毒，加密帮不上忙。
本文未核实的内容
下面这些点没有足够可靠的官方口径，明确标注为未核实：第一，VeraCrypt 当前最新版本号与各操作系统的兼容细节；第二，第三方加密压缩工具的加密强度与操作步骤；第三，不同品牌电脑开启 TPM 的具体路径；第四，各家云盘同步加密容器时的损坏风险与恢复办法；第五，旧电脑与旧系统版本上的 BitLocker 与 FileVault 表现，本文只按当前官方文档的一般说明写。以官网当前页面为准。