企业官网建设流程全解析

1. 先把问题搞清楚：Windows PIN 不可用到底卡在哪一环

早上一开机，登录界面只剩一个孤零零的输入框，下面飘着一行小字——“你的 PIN 不可用，请重新设置”，点进去转两圈又弹回来，或者干脆提示“发生了错误”。这种场面我见过太多次，尤其是在给别人看过电脑之后。Windows PIN 不可用这件事，表面看是“密码忘了”，实际上绝大多数时候密码一点问题没有，坏掉的是 PIN 背后那套认证链路。Windows Hello 的 PIN 从来就不是一个存在本地的四位数字，它是绑定 TPM 芯片里一组密钥、再和当前用户账户的凭据容器做关联的一套机制，链路上任何一环松动，登录界面就会直接告诉你 PIN 不可用。

我把这个故障拆成三层来看。最内层是凭证容器，物理位置在系统盘的 ServiceProfiles 目录下，存着加密后的 PIN 凭据和密钥文件；中间层是平台支撑，包括 TPM 模块状态、Windows Hello 相关服务、生物识别驱动；最外层是账户策略，涉及组策略里 PIN 登录是否被允许、账户类型是本地还是在线账户、有没有开启无密码登录。三层里任意一层断了，症状看着都一样，但修法完全不同。很多人一上来就狂点“我忘记 PIN”，重设三次后被锁得更死，就是因为没分清自己坏在哪一层。

这篇内容适合谁看？两种情况最典型。一种是普通用户，开机进不去系统，急需一个能照着做、不丢数据的流程；另一种是经常帮人维护电脑的人，手头攒了一堆“PIN 又挂了”的求助，想要一套从轻到重的排查顺序，别每次都直接推荐重装。我会按“从最轻的操作到最重的操作”排下来，每一种都写清楚它针对哪一层、为什么管用、什么时候别用。下面所有命令和路径我都实际跑过，路径写法以主流版本为准，个别版本界面措辞有差异，操作逻辑不变。

1.1 PIN、账户密码、Windows Hello 三者的关系

先把概念理清，不然后面全是懵的。账户密码是你注册账户时设的那串东西，它存在账户数据库里，验证时要么本地比对哈希，要么在线交给账户服务器校验。PIN是另一套东西，它是四到六位（也可以勾选包含字母符号），验证过程完全在本地完成，TPM 用存进去的密钥对 PIN 做解密验证，验证通过后释放出账户凭据，系统才认为你是你。所以 PIN 比密码更“本地”，也正因如此它更娇气——换主板、刷 BIOS、清 CMOS、克隆硬盘、系统盘符变动，都可能让 TPM 里那份密钥对不上号。

Windows Hello是这套机制的统称，PIN、指纹、人脸、安全密钥都归它管。指纹和人脸属于便捷入口，最终还是要解出同一份账户凭据。这就解释了一个常见现象：指纹能刷进去，PIN 却提示不可用，或者反过来。说明凭据容器本身还在，只是某一种验证方式的子项出了问题。这时候别急着大动干戈，先试另一种入口进系统，进去之后再慢慢收拾。

还有一个容易被忽略的点：PIN 和账户密码是两套独立的记忆负担，但共用同一个账户身份。你在网页端改了账户密码，本地 PIN 通常不会立刻失效，但某些情况下会因为令牌刷新而失效；反过来，重设 PIN 完全不影响账户密码。搞清楚这一点，你在“我到底该输哪个”的慌乱里就能稳住。

1.2 五种典型报错现象与背后成因对照

同样是“PIN 不可用”，提示语不同，病根也不同。我把手上遇到过的现象归了归类，你先对号入座，再往下翻对应章节，能省掉一大半试错时间。

第一种，“你的 PIN 不再可用，因为此设备上的安全设置已更改”。这句几乎是明牌，TPM 里的状态变了，典型触发场景是刷 BIOS、更新固件、清 CMOS、换主板、把硬盘拆到另一台机器上。系统发现密钥对不上，主动作废旧 PIN 保护你，属于安全设计，不是 bug。

第二种，“我们无法验证你的 PIN”，重试多次后提示需要等待。这多半是 TPM 的防暴力破解锁定在起作用，短时间内连续输错会触发锁定窗口，等一段时间自动解锁，不用做任何修复。有些人一急就反复试，反而把锁定时间越拖越长。

第三种，点“我忘记 PIN”后转圈，最后报错代码。这类是凭证容器层面坏了，文件损坏、权限错乱、加密服务起不来都可能。修法就是重建容器，后面第三章详细写。

第四种，“此选项当前不可用”或者干脆没有 PIN 设置入口。这是策略层被关了，可能装了什么“优化工具”把便捷 PIN 登录给禁了，也可能是组策略被改过、注册表被清理软件动过。

第五种，PIN 设置成功了，重启又不可用，反复循环。这种最恶心，通常指向 TPM 本身状态不稳、固件有兼容问题，或者系统盘所在存储设备驱动异常导致凭证容器写入失败。

2. 动手前的准备与风险控制

我见过太多人二话不说直接删文件夹，结果把唯一能进系统的入口也弄没了。在动任何一步之前，有几件事必须先确认，这几分钟的确认能帮你避开后面几小时的麻烦。

第一，确认你还有一条能进系统的路。最快的办法是在登录界面右下角找“登录选项”，看能不能切成“密码”登录。如果密码能进，你现在就处在最舒服的状态，后面所有操作都可以从容做。如果只有 PIN 一个选项，说明系统被设成了“仅允许 Windows Hello 登录”，这条要先解决，第四章讲。如果密码也忘了、在线账户也找不回来，那属于账户恢复问题，不在本篇范围内，需要走账户找回流程。

第二，确认 BitLocker 状态。这一步极其关键。如果你的系统盘开了设备加密，而你又打算进安全模式或者清除 TPM，必须先把恢复密钥找出来。恢复密钥通常挂在你的在线账户设备页面里，或者被打印、导出过。我踩过一次坑：开机先进了安全模式，结果系统提示输入恢复密钥，而当时的密钥只在另一台已经坏掉的机器上存着，最后只能走数据恢复。清除 TPM 会直接让 BitLocker 进入恢复状态，这句话请记住。

第三，确认电源和网络。笔记本先把电源插上，很多修复流程中途断电会导致凭证容器写坏；在线账户相关的操作需要联网，别指望断网状态下能完成账户验证。

第四，准备一个能用的管理员账户。如果你是给别人的电脑做维护，先问清楚有没有第二个管理员账户，或者能不能用另一台设备做远程指导。没有备用管理员账户的情况下，操作要更保守，优先选择不动系统分区的方案。

2.1 先备份再动手：哪些东西必须提前捞出来

能进系统的话，动手前花十分钟做这几件事，性价比极高。

• 导出 BitLocker 恢复密钥。命令行执行manage-bde -protectors -get C:，把恢复密码那串四十八位数字抄下来或者截图。开了设备加密的机器，这串数字就是你的保险绳。
• 确认账户类型。设置里看一眼是本地账户还是在线账户，这决定了后面能不能用在线方式重置密码。
• 记下当前系统版本。winver命令看一眼，版本号不同，设置项位置和策略行为会有差异，比如某些版本默认隐藏了“改用本地账户登录”的入口。
• 备份凭证容器目录。如果你打算删 NGC 文件夹，先把它整个复制一份到别的盘，万一新容器建不起来，还能还原回去。这个操作很多人不做，但真出事的时候它就是后悔药。

注意：不要在有多个用户账户的公共机器上随手清 TPM。清除 TPM 是全局动作，会让这台机器上所有用户的 Hello 凭据一起失效，包括指纹和人脸。

2.2 判断自己属于哪种故障场景

我把决策逻辑压缩成一张表，你先按现象定位，再按定位跳章节。别小看这一步，很多人绕远路就是因为上来就用了最重的手段。

3. 方法一：重建凭证容器，把坏掉的 PIN 记录整个换掉

这是命中率最高的一个方法，我统计过自己经手的案例，纯粹的凭证容器损坏占了一半以上。原理不复杂：系统把 PIN 的加密凭据存在一个叫 Ngc 的目录里，目录里每个子文件夹对应用户的一个凭据项。这些文件一旦损坏或者权限错乱，验证就走不下去。把整个目录挪走，系统下次启动会发现“没有可用凭据”，于是走“请设置 PIN”的流程，重新生成一份干净的。

3.1 为什么重建容器能生效

Ngc 目录位于系统盘的服务账户配置下面，完整路径是C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc。注意这里的 LocalService 是一个系统内置账户，普通用户看不到这个目录，即便用管理员账户打开资源管理器，也会在 AppData 那一层被拦住。这不是你权限不够，而是目录本身的访问控制列表只给了系统账户和受信任安装程序权限。

为什么删掉它 PIN 就恢复了？因为 PIN 的验证过程本质是“用你输入的 PIN 去解开容器里的一份密钥材料，再用这份材料换取账户令牌”。容器损坏了，密钥材料解不开，验证必然失败，而系统又没有自动修复容器的机制，所以只能人工重建。这也解释了一个现象：有些人在这个故障状态下改用指纹，也进不去，因为指纹最终也要落到同一份凭据上。

重建容器有几个前提必须满足，缺一个都可能失败。一是TPM 状态正常，二是能用一个非 PIN 的方式登录进系统（密码、图片密码、或者另一台机器的远程协助），三是当前账户是管理员，四是系统加密服务没有被禁用。四条里最容易出问题的是第二条，所以顺序上永远是先解决登录入口，再重建容器。

3.2 具体操作步骤与权限处理

整个流程分五步，我按实际操作的顺序写。每一步做完再进下一步，不要跳。

第一步，用密码登录进系统。登录界面点“登录选项”，选钥匙图标那个，输入账户密码。如果这一步就过不去，先跳到第四章解决登录入口，别硬来。

第二步，以管理员身份打开命令提示符。开始菜单搜 cmd，右键“以管理员身份运行”。家庭版没有组策略编辑器，但命令行一定有。

第三步，取得目录所有权并重命名。我不建议直接删除，重命名更稳妥，出问题能改回来。依次执行：

takeown /f "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /r /d y icacls "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /grant administrators:F /t ren "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" "Ngc_bak"

takeown的作用是把目录所有权划到当前管理员组，icacls是补上完全控制权限，最后一步才是改名。三行命令必须按顺序执行，中间任何一行报“拒绝访问”，说明权限没拿全，把上一行再跑一遍。改名而不是删除，是为了给自己留退路——万一新容器建不起来，把名字改回去就能恢复原状。

第四步，确认相关服务处于运行状态。执行下面两条，看输出里的状态是不是 RUNNING：

sc query WbioSrvc sc query CryptSvc

如果哪个不是 RUNNING，先sc start 服务名拉起来。加密服务（CryptSvc）挂了的话，新容器根本建不起来，这一步经常被跳过。

第五步，重启并重新设置 PIN。重启后在登录界面点“我忘记 PIN”或者直接按提示设置新 PIN。设置过程中如果要求验证账户密码，正常输入即可。

提示：改名之后如果系统提示“找不到指定路径”之类的错误，不必惊慌，那说明系统确实检测不到旧容器，正在走新建流程，属于正常现象。

3.3 这个方法的边界与风险

这套操作不是万能的，有三种情况它不管用。

一是TPM 已经彻底失效或者被禁用。容器重建了，但新的凭据没法写进 TPM，设置 PIN 那一步还是会失败，报的通常是 0x80090016 一类的密钥集错误。这种要先去修 TPM，见第五章。

二是组策略层面禁用了 PIN。你把容器删一百遍，设置入口还是灰的，因为策略压根不允许你用 PIN。这时候要先改策略。

三是账户本身处在受限状态，比如被加入某个受限组，或者账户配置文件损坏。表现是设置 PIN 时提示“你的账户当前不可用”。

风险方面，最需要提醒的是多用户机器上的连带影响。Ngc 目录是所有用户共用的，你改掉它，这台机器上其他用户的 PIN 也会一起失效，需要各自重新设置。如果在办公环境里操作，提前打个招呼，别第二天一堆人来找你。

4. 方法二：先把登录入口夺回来，再谈修复

有一类情况特别尴尬——PIN 不可用，同时密码也想不起来，或者系统被设成了只允许 Hello 登录，密码选项根本不显示。这时候所有修复手段都无从下手，因为第一步就卡死在登录界面。所以这一章的核心目标不是修 PIN，而是抢回一个能进系统的入口。

4.1 从登录界面切入：让密码选项重新出现

主流版本里有个设置项，叫“为提高安全性，仅允许此设备使用 Windows Hello 登录”，它在账户登录选项里，勾上之后登录界面就只剩 Hello 相关的方式。如果这台机器 PIN 坏了，就等于把门从里面锁死了。

解决办法是从登录界面的“登录选项”里找其他图标。常见的有：密码（钥匙图标）、图片密码、安全密钥、还有一个“其他用户”。如果密码图标存在但点进去提示错误，那是账户校验的问题；如果密码图标压根不存在，那就是被上面的设置项藏起来了。

藏起来的情况怎么破？两条路。第一条是走安全模式，安全模式下 Hello 相关功能不启用，只有密码登录。进入方式是在登录界面按住 Shift 点重启，或者强制断电三次触发恢复环境，然后选疑难解答、高级选项、启动设置、重启、按数字键选安全模式。

注意：开了设备加密的机器进安全模式大概率要求输入 BitLocker 恢复密钥，没有密钥千万别往下走，会把自己锁在恢复界面。这是我在给别人做远程指导时反复强调的第一句话。

第二条路是用安装介质引导进恢复环境，从命令行里操作。好处是不依赖当前系统的登录界面，坏处是操作门槛高、需要提前准备介质。对普通用户，我一般优先推荐安全模式那条路。

4.2 在线账户的验证与密码重置

如果账户是在线账户，密码其实好办，另一台设备打开账户管理页面，走“忘记密码”流程重置即可。重置之后回到这台机器，登录界面输新密码，进去之后再处理 PIN。

这里有个细节经常被忽略：在线账户改密码后，本机的缓存凭据可能还是旧的。表现是你输入新密码被拒，输入旧密码也失败。解决办法是联网状态下登录一次，让系统去服务器拉新凭据；如果一直不成功，说明本机缓存坏了，需要在设置里重新验证账户。

还有一种情况是账户本身没问题，但本机与服务器的通信被拦了，比如装了某些网络管理软件。表现是登录时一直转圈然后报“发生了错误”。把网络切到手机热点试试，能过就说明是网络环境的问题。

4.3 本地账户与在线账户的切换要点

本地账户没有云端可以背书的密码，忘记密码就只能靠密码重置盘或者安全问题。所以如果你用的是本地账户，我强烈建议做两件事：一是提前创建密码重置盘，二是准备第二个管理员账户。

第二个管理员账户的作用，很多人是出事后才明白的。它的价值在于：当主账户的 PIN 和密码同时出问题时，你可以用备用管理员登录，然后从容地给主账户重置密码、重建凭据容器、修策略。没有这个后手，就只能走离线手段，风险指数级上升。

创建方法很简单，设置里的“其他用户”添加一个本地账户，类型选管理员，密码记在一个你不会丢的地方。别用生日、别用 123456，也别和管理员账户用同一个密码——否则一个泄露两个都完。

5. 方法三：修 TPM 与 Windows Hello 服务链路

如果重建容器之后还是不行，或者报错代码明显指向密钥集、TPM 通信，那问题就在更底层。这一章的内容，操作上有一定门槛，建议先把前面备份的活干完再动手。

5.1 TPM 状态自检的正确姿势

先跑一个自检。按 Win+R 输入tpm.msc回车，打开管理面板。重点看三块信息：状态是不是“已就绪，可以使用”，规范版本是多少，以及有没有“所有权”相关的提示。

状态显示“TPM 已准备好使用”是最理想的，说明模块本身没问题，问题在凭据。状态显示“TPM 无法使用”或者干脆空白，说明系统看不到 TPM，可能是 BIOS 里被禁用了，也可能是固件出问题。这时候重启进 BIOS 设置，找安全相关的那一页，把 TPM 相关的开关打开。注意不同主板叫法不一样，有的叫 PTT、有的叫 fTPM、有的叫安全设备，本质都是固件模拟的 TPM 2.0。

如果面板提示所有权有问题，可以尝试“清除 TPM”。但我必须把这句话说重一点：清除 TPM 会让 BitLocker 进入恢复模式，会让这台机器上所有 Hello 凭据全部作废，会让绑定的指纹和人脸需要重录。清除之前，把恢复密钥确认到手，这是唯一的前提条件。

清除完成后重启，系统会提示“安全硬件已更改”，这时候按提示重新设置 PIN。设置的过程中会要求验证账户密码，正常情况下走完就恢复了。

5.2 相关服务与策略项逐个确认

TPM 没问题的话，接着查服务。除前面提到的生物识别服务和加密服务，还有两个要确认：

sc query VaultSvc sc query KeyIso

VaultSvc 是凭据管理器服务，KeyIso 是密钥隔离服务，这两个挂了会直接导致 PIN 验证失败，而且报错信息往往很含糊，只说“发生了错误”。启动类型建议设为自动，别设成手动，有些优化工具会把它改成手动，结果开机时启动顺序错乱。

服务之外还要看策略。专业版及以上可以打开本地组策略编辑器，路径是“计算机配置、管理模板、系统、登录”，找“打开便捷 PIN 登录”这一项。如果它被设为“已禁用”，PIN 功能直接被掐断，设置界面显示为不可用。改成“未配置”或者“已启用”，重启后生效。

家庭版没有组策略编辑器，可以改注册表对应位置：

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System] "AllowDomainPINLogon"=dword:00000001

改完重启。如果这个键值原本是 0，那就是它干的。顺便说一句，有些第三方“系统优化”软件会在你不知情的情况下把这类键值改成 0，装完软件 PIN 就挂了，就是这么来的。

5.3 设备管理器里的那个黄色感叹号

设备管理器里如果“安全设备”下面有黄色感叹号，或者在“生物识别设备”下有报错，先把驱动处理掉。做法是右键卸载设备，勾选删除驱动程序，重启让系统自己重新识别。系统自带的驱动通常够用，别急着装来路不明的驱动包。

还有一种情况是固件更新后 TPM 版本信息读不出来，设备管理器里显示为未知设备。这种需要去主板厂商页面找对应型号的固件更新，更新完再做一次 TPM 清除。注意固件更新过程中绝对不能断电，笔记本务必插电源。

6. 方法四：系统文件与注册表层面的深度修复

前三个方法都试过还在报错，说明系统组件本身可能损坏了。这一层修复用的是系统自带的两个工具，顺序很重要，反了会白跑。

6.1 组件修复与系统文件检查的组合顺序

先跑组件修复，再跑文件检查，这个顺序不能反。因为文件检查在修系统文件时，需要从组件存储里取正确的源文件，如果组件存储本身就是坏的，检查会报“无法修复某些文件”，白跑一趟。

DISM /Online /Cleanup-Image /ScanHealth DISM /Online /Cleanup-Image /RestoreHealth sfc /scannow

第一条是扫描，第二条是修复，第三条是系统文件校验。整个过程视磁盘速度而定，慢的机器第一条能跑十几分钟，中途别关窗口。跑完重启再试 PIN。

如果 DISM 报 0x800f081f 这类错误，说明组件存储缺失严重，得挂载系统镜像作为修复源。命令行加/Source:参数指向镜像里的 install.wim 解出的目录，还得加/LimitAccess避免它去网上找。这个操作对普通用户偏重，我一般建议直接跳到第 7 章的就地升级，效果一样但省心。

6.2 注册表关键项的手动核对

注册表这块我只建议改两个地方，其他位置风险太高，收益不成正比。

第一个是前面提过的AllowDomainPINLogon。第二个是账户相关的一个版本标识：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\PasswordLess\Device] "DevicePasswordLessBuildVersion"=dword:00000000

这个值影响的是账户设置里是否显示“改用本地账户登录”的入口。它跟 PIN 不是直接关系，但在“PIN 挂了又只显示 Hello 登录”的场景里，改它可以把密码登录的选项放出来，等于多一条退路。改完重启生效，进入系统后再把它改回去也行。

提示：改注册表前先导出备份，右键那一项选导出，存到别的地方。这是老规矩，但每次都有不信邪的人跳过，然后花两小时找还原点。

6.3 账户数据库层面的异常排查

如果新建一个本地管理员账户，在新账户里 PIN 一切正常，老账户死活不行，那基本可以断定是账户配置文件或凭据数据库坏了。这种情况的处理思路不是修，而是迁移：新账户建好、把数据搬过去、把旧账户降级或删除。

数据迁移要搬的东西：桌面、文档、下载、图片这些常规目录，浏览器书签和配置文件，邮件客户端的数据文件，还有一些软件的授权信息。后者最麻烦，部分软件授权绑账户，换账户要重新激活。所以真正动手前，先列个清单，把必须迁移的东西写下来，别边搬边想。

还有一种更轻的办法是先试账户配置文件修复：把旧账户的配置文件目录改名，让系统重建一个，再把文件搬回去。这个方法我有成功的案例，也有把桌面图标全弄丢的案例，属于看运气的操作，适合作为迁移之前的最后一次尝试。

7. 方法五：兜底三招——新建账户、系统还原、就地升级

前面四章是常规手段，这一章是兜底。之所以放在最后，是因为它们成本高、影响面大，不到万不得已不用。

7.1 新建管理员账户先做一次“隔离验证”

新建账户的价值不在于使用，而在于定位。它相当于一个对照组：新账户 PIN 正常，说明硬件和系统服务都没问题，坏的是账户数据；新账户 PIN 也一样坏，说明问题在 TPM、固件或者系统层面，跟你这个账户无关。这一步做完，后面的路就清晰了。

创建方式：设置、账户、其他用户、添加账户，选“我没有这个人的登录信息”，再选“添加一个没有 Microsoft 账户的用户”，填用户名和密码，创建完成后点开这个账户，把账户类型改成管理员。然后用它登录，去设置里配 PIN。能配成功，说明方向对了。

7.2 系统还原点与就地升级的取舍

系统还原的前提是你开过保护且有还原点。很多人从没开过，去翻的时候发现列表是空的，那就只能走就地升级。

就地升级的意思是：用同版本的系统安装介质，在系统内运行安装程序，选择“保留个人文件和应用”。它会重装系统文件、重建服务注册，但保留用户数据。对“系统组件损坏导致 PIN 失效”这类问题，效果通常很好，而且不用重装软件。缺点是要预留足够空间、耗时一小时上下，个别机器升级后会掉一些驱动，需要重新装。

两条路怎么选？有可用还原点、时间点在故障之前，优先还原，快且彻底。没有还原点，或者还原点也在故障之后，就走就地升级。重装系统永远排在最后，因为它的隐性成本最高——你要重新激活软件、重新配环境、重新登录各种账户，这些时间加起来远超修复本身。

7.3 什么情况下才真的该考虑重装

我给自己的标准是三条，满足两条以上才动重装的心思：系统启动明显异常（不只是 PIN 的问题）、修复过程中出现多次蓝屏或文件系统错误、整套修复流程走完两轮以上仍无进展。

重装前必须做的：确认数据备份完整、确认所有账户密码和许可信息在手、确认有一份完整的驱动清单。这三样缺一样，重装过程就会变成一场灾难。特别是驱动，有些老机器的网卡驱动系统不自带，装完没网，连驱动都下不了，只能再找一台机器做介质。

8. 报错速查表：按代码和现象对症下药

下面这张表是我这些年攒下来的，按错误码整理。遇到带代码的报错，直接查表；不带代码的看第二张。

8.1 错误代码对照表

8.2 不带代码的现象排查表

9. 实操中踩过的坑与心得

这一章是整篇里最不“标准”的部分，但也是最值钱的。下面这些坑，每一条我都亲自踩过或者亲眼见过别人踩。

9.1 五个最容易翻车的操作

第一个坑，不看 BitLocker 就清 TPM。后果是重启直接进恢复界面，四十八位密钥不知道在哪，最后只能重装。这件事我强调三遍都不嫌多：清 TPM 前先导出恢复密钥。

第二个坑，用优化工具一键“修复”。市面上一些所谓的系统优化工具，会顺手把生物识别服务、凭据管理器服务的启动类型改成手动或者禁用，把 PIN 相关的策略键值改成关闭。你原本只是个小问题，被它一“优化”变成了大问题。我现在的习惯是，故障排查期间不装任何第三方系统工具。

第三个坑，反复输错 PIN。很多人以为是密码记错了，一次次重试。实际上防暴力锁定机制会累加，越试锁得越久，极端情况下要等两小时。正确做法是错两次就停，先切密码登录。

第四个坑，克隆硬盘后不重置系统。把系统盘克隆到新硬盘，机器能开机，但 PIN 失效，因为 TPM 认为环境变了。这类情况解决方式就是老老实实重设 PIN，不要试图“修”，没什么可修的。

第五个坑，在多人共用的机器上直接删凭据容器。前面提过，这是全局动作，别人的 Hello 凭据会一起没。操作前打个招呼，或者干脆挑没人在用的时候做。

9.2 日常预防：让 PIN 不再莫名失效

预防比修复省事得多，几个习惯养成之后，这类故障能少一大半。

其一，保持账户密码可知可用。PIN 只是快捷入口，账户密码才是兜底。把密码存进可靠的密码管理工具，别只记在脑子里。很多人 PIN 挂了之后第一个问题是“我密码是多少来着”，那就真没办法了。

其二，开设备加密的同时把恢复密钥存三处。账户云端一份、离线的纸质一份、可信的第二台设备一份。三处缺任意一处，都不算稳妥。

其三，BIOS 和固件更新前先想清楚后果。更新固件大概率会重置 TPM 状态，导致 PIN 失效。更新前把恢复密钥确认好，更新后第一时间重设 PIN，别拖。

其四，别装来路不明的系统优化工具。这句话放在最后，是因为它造成的故障占了相当比例。系统服务、注册表策略这些，能不动就不动，实在要动，改之前导出备份。

其五，准备一个备用管理员账户。这个建议我在不同场合说过很多次，真正照做的人不多，但每一次照做的人都在关键时刻省下了好几个小时。

最后分享一个我自己的排查习惯：遇到 PIN 问题，先不急着动手，先在纸上把“能不能用密码登录、账户是本地还是在线、有没有开设备加密、TPM 状态如何”这四个问题回答一遍。四个答案凑齐，修法基本就自己浮出来了。跳过这一步直接操作，往往是在几个无关的方向上反复折腾，最后把简单问题复杂化。