第 4 章 账户、权限与安全
这一章不讨论杀毒软件哪个好，只讲几件容易搞错、而且错了代价很大的事： 账户怎么选、权限该收紧还是放开、全盘加密的恢复密钥放在哪里。
一、本地账户还是微软账户
| 本地账户 | 微软账户 | |
|---|---|---|
| 隐私 | 不向外部同步任何内容 | 会同步部分设置与偏好 |
| 重装后 | 需自己重建账户与配置 | 登录即可恢复部分设置 |
| 设备加密 | 密钥只在本机，丢了就没了 | 密钥可备份到账户，恢复更容易 |
| 应用商店 / 部分功能 | 受限 | 完整 |
我的选择是本地账户 + 需要时单独登录微软服务：系统本身保持干净，商店和 OneDrive 用它自己的登录。 如果你更在意「换机时省事」，微软账户更方便，但记得把它的设备加密密钥确认能找回。
装完系统后可以在「设置 → 账户 → 你的信息」里从微软账户切换为本地账户，不需要重装。
二、日常不要用管理员账户
常见做法是把唯一账户设成管理员，然后关掉 UAC，图个「不弹窗」。这等于让所有程序都跑在最高权限下， 一旦某个软件有恶意行为，防线是零。
更稳的结构是：一个管理员账户（平时不用）+ 一个标准用户账户（每天用）。 标准用户需要装软件、改系统设置时，会弹出要求输入管理员密码，这一步就是提醒你「接下来要做的事需要管理员权限」。
UAC 该设到哪一档
控制面板 → 用户账户 → 更改用户账户控制设置，有四档：
- 最高：任何改动都提示，包括自己调设置，过于频繁
- 默认（第三档）：程序试图改系统时提示，推荐
- 第二档：只调暗桌面不黑屏，安全性略降
- 最低：完全不提示，等于关闭保护，不要选
三、BitLocker：开了就必须导出恢复密钥
笔记本建议开全盘加密——电脑丢了，拆硬盘也读不出数据。但这件事有个前提： 恢复密钥必须存在你能拿到的地方。
主板更换、BIOS 清空、TPM 状态变化，都会让系统要求输入恢复密钥。密钥只在系统里，就等于没有。
# 查看加密状态
manage-bde -status
# 查看恢复密码（48 位数字），务必抄下来或截图另存
manage-bde -protectors -get C:更省事的做法是在开启加密时选择「保存到文件」或「打印」，然后把那份文件放到手机、网盘或另一台机器上。 不要只存在这台电脑上。
家庭版的「设备加密」是 BitLocker 的简化版，密钥通常自动备份到微软账户。 如果你用的是本地账户，它可能只在本机保存——这种情况更要去「设置 → 隐私和安全性 → 设备加密」确认一下密钥在哪里。
四、Defender 够用，但要配排除项
系统自带的 Defender 在常规防护上已经足够，不需要再加一套第三方全家桶（两套杀软互相扫描，反而拖慢机器）。 有两件事值得做：
- 加排除项：设置 → 隐私和安全性 → Windows 安全中心 → 病毒和威胁防护 → 管理设置 → 排除项。 把编译输出目录、虚拟机磁盘目录、大型素材目录加进去，能明显减少扫描带来的卡顿。 只加你完全信任的目录，别整个盘排除。
- 打开「受控文件夹访问」（勒索软件防护）：它会阻止未授权程序修改文档目录。开了之后某些老软件保存文件会失败，遇到再单独放行。
SmartScreen 不要关
下载来路不明的 exe 时，SmartScreen 的拦截是最有效的一道线。它误报的情况有，但比中招便宜得多。 确实需要运行时，用「更多信息 → 仍要运行」，这样至少留下了一次明确的确认。
五、密码、PIN 与 Windows Hello
- PIN 不等于密码：PIN 只绑定这台设备，不上传、不参与网络认证，泄露了也不能拿去登录别的地方。所以日常用 PIN 比用密码更安全
- 指纹 / 面部识别：方便且安全，配合 PIN 作为备选
- 密码要够长：本地账户密码只在登录时用，但仍建议 12 位以上，避免被物理接触后暴力猜解
六、三个容易被忽略的风险点
1. 自动登录
用 netplwiz 取消「必须输入密码」可以开机免密，但同时意味着任何人开机就能进你的系统。
笔记本、有他人接触可能的机器，不要开。
2. 远程桌面暴露到公网
专业版自带远程桌面，默认端口 3389。直接把它映射到公网是高风险做法，扫描器几分钟就能找到。 需要远程访问就用虚拟局域网工具或跳板，至少也要改端口 + 限制来源 IP + 强密码。
3. 共享文件夹与「所有人」权限
右键共享时如果给了「Everyone 完全控制」，同一个网络里的任何设备都能读写。 共享时按用户授权，并且只在专用网络下启用共享（公共网络关闭）。
七、软件来源的习惯
最后这条比上面所有设置都重要：软件只从官网或系统商店下。 所谓的绿色版、修改版、去广告版，是最常见的入口。省钱和省事的代价常常是整台机器的数据。
如果确实要用不常见的工具，至少先做两件事：在虚拟机里跑一次看行为，或者装完立刻检查它的自启项与网络连接。