EFS 加密文件无法解密？证书与私钥丢失后的排查思路
把文件用 Windows 自带的 EFS（加密文件系统）加密后，重装系统、换用户或导出时漏了私钥，再打开就提示『拒绝访问』。EFS 与 BitLocker 不同，它绑定的是用户证书而非密码，私钥一旦丢失，文件几乎无法还原。本文讲清排查顺序，以及重装前必须做的证书备份。
一、先判断是不是 EFS 问题
- 文件名为 绿色显示，属性-高级里『加密内容以便保护数据』被勾选，即为 EFS。
- 提示 拒绝访问或没有权限，而不是要求密码，大概率是当前用户没有对应私钥。
- 用 certmgr.msc 打开证书管理器，看『个人-证书』下有无『加密文件系统』用途的证书。
二、私钥还在时的标准解密
- 用 原加密账号 登录，直接双击文件即可解密。
- 若想取消加密：右键文件-属性-高级-取消『加密内容』。
- 批量处理可用 cipher /d 路径 递归解密。
三、重装或换用户后私钥丢失的抢救
- 检查是否曾 导出过 PFX 证书：在 certmgr 中导入该 pfx 并勾选『标记此密钥为可导出』。
- 企业域环境可联系管理员用 EFS 恢复代理（DRA） 证书解密，需域策略事先配置。
- 查看旧系统盘是否还在：把旧用户目录下的 AppData\Roaming\Microsoft\Crypto\RSA 私钥文件拷回新系统同名 SID 目录（高级操作，需匹配用户 SID）。
四、事前必备：证书备份
- certmgr.msc 中右键 EFS 证书-所有任务-导出，务必选『是，导出私钥』。
- 设置强密码，把 pfx 存到 非系统盘和云端各一份。
- 重装系统前，这一步能救回所有加密文件。
技术总结：EFS 的安全性来自私钥，私钥在一切可解，私钥丢则基本无解。重装系统前导出带私钥的 pfx 是唯一保险；域环境应提前部署恢复代理作为兜底。