inspired-by-atmosphere/ops-troubleshooting-skills/windows-system-integrity-repair

Windows 系统完整性修复与 BitLocker 恢复副作用（Windows）

实战验证（ThinkBook 16+ 2025, Win11 26100，2026-08）。覆盖：BitLocker 恢复后副作用排查 → 系统文件完整性修复（SFC/DISM）→ 个性化（壁纸/透明/锁屏）恢复 → OEM 残留清理。

触发场景

• "BitLocker 后我的壁纸/透明状态栏/XX 没了"
• "切独显直连/显卡模式/刷 EC 后触发了 BitLocker 恢复"
• 系统文件损坏、主题/锁屏图异常、需要 SFC/DISM 修复
• 要卸载/清理某联想等 OEM 软件残留

1. BitLocker 恢复副作用——根因模型

BitLocker 恢复的本质：硬件/启动链变更（切换显卡模式、刷 EC、BIOS 更新、磁盘序列号变化等）后，Windows 判定启动环境异常 → 要求恢复密钥 → 解锁后重新初始化部分受信任的配置（登录/UI/主题/签名相关）。要点：

• 壁纸丢失：用"Windows 聚焦(Spotlight)"主题时，注册表指向 IrisService 的临时缓存 jpg；BitLocker 恢复清空缓存/路径变更 → 注册表还在但物理文件丢 → 壁纸空白。恢复后换普通壁纸即可绕过聚焦缓存依赖。
• 透明状态栏失效：注册表 EnableTransparency=1 仍在但 DWM/主题服务因资源文件损坏无法渲染。重启 DWM 常能解决（Stop-Process -Name dwm -Force，系统自动拉起，桌面闪一下）。
• 锁屏/主题图损坏：BitLocker 恢复可能损坏 %SystemRoot%\Web\Screen\img*.jpg 等主题背景组件文件，且 WinSxS 源也损坏 → SFC 无法自修。
• 个性化注册表值常仍正确（EnableTransparency=1、壁纸路径）但没生效——症状 ≠ 配置丢失，先查实际渲染/文件存在性，别急着改配置。

排障顺序：先确认系统文件完整性（SFC/DISM），再处理个性化症状（换壁纸、重启 DWM）。

1b. 解除/解密 BitLocker（manage-bde -off）——完整工作流

触发："怎么解除硬盘的 BitLocker" / "想关掉加密"。注意：本机三块盘可能全都被加密（C 系统盘 + D/E 数据盘），且数据盘（D/E）的自动解锁密钥存放在 C 盘上——动手前先查清全盘状态，别只当 C 盘加密。

关键坑（必须先知道）：直接 manage-bde -off C: 会失败，报错

错误: 此卷存储可以对其他卷进行自动解锁的一个或多个外部密钥。必须首先删除此类密钥，才能解锁此卷。

因为 D/E 盘的自动解锁密钥就存在 C 盘上。必须先用 manage-bde -autounlock -ClearAllKeys C: 清掉，然后才能解 C 盘。清除后 D/E 自动解锁永久失效——要么也一并解密，要么以后开机手动输密码。先给用户两个选项：A=三盘全解（推荐，一劳永逸）；B=只解 C，D/E 留加密但改手动解锁（有长期麻烦）。

完整流程（全部需管理员，用提权 PS 脚本 + -Verb RunAs，会弹 UAC）：

1. 备份三盘恢复密钥：manage-bde -protectors -get C:（D: E: 同理）→ 抄下 48 位恢复密钥（8 组 6 位），存桌面 txt；解密中途断电/异常仍可能要求恢复密钥。
2. 清自动解锁密钥：manage-bde -autounlock -ClearAllKeys C:
3. 逐盘启动解密：manage-bde -off C: 然后 D: E:（-off 无输出即成功）
4. 验证启动：manage-bde -status <盘> → "转换状态: 解密进行中"、"保护状态: 保护关闭"、"已加密百分比"从 100% 逐降，降到 0 即完成
5. 等后台完成：解密是系统级后台任务，电脑可正常用；"仅加密已用空间"模式（XTS-AES 128）实测约 5 分钟降 20%，500G 盘全解约 10-40 分钟

查询权限坑：BitLocker 一切查询/操作都要管理员。非管理员跑 manage-bde 报"拒绝访问"，且 Get-BitLockerVolume 会附带误导性的"没有关联的 BitLocker 卷"错误——那是权限失败的回退错误，不代表真没加密。先验权限：[Security.Principal.WindowsPrincipal]...IsInRole(Administrator)。

后台监控的坑：想自动轮询进度（每 60s 查一次写日志）时——

• schtasks /Create 用 /ST 00:00 会因"早于当前时间"警告导致创建失败/任务找不到；改用未来时间如 /ST 23:59 再手动 /Run。
• 计划任务默认以普通用户跑，manage-bde 无权限（Last Result=1）；要么 /RU SYSTEM，要么干脆每次手动提权单次查询（Start-Process ... -Verb RunAs -Wait）最省事。
• 若后台监控反复启动失败（UAC 没点到/任务查不到），别死磕监控——解密本身是系统级任务自己会跑完，周期性手动查一次即可。

数据卷解密慢的坑（2026-08-20 实测）：C/D 盘 5 分钟降 ~20% 很快，但 E 盘降 ~0.2%/分钟极慢。原因不是硬件（NVMe SSD 健康），而是 E 盘上有活跃程序在持续读写（实测 7 个：AweSun/剪映/美图/Nexus/Pogget/ToDesk/WPS），解密引擎要跟它们争 I/O 并对锁定文件反复重试，实测 IO 只有 25-33MB/s（正常应数百）。

• 诊断方法：Get-Process | Where Path -like 'E:*' 列占用进程；Get-Counter '\PhysicalDisk(*)\Disk Bytes/sec' 看 IO 速率；Get-PhysicalDisk 确认介质类型。
• 加速手段：Stop-Process 关掉占用程序。自守护程序（如 ToDesk）Stop-Process 杀不掉——会由服务自动拉起，需提权 Stop-Service -Name 'ToDesk_Service' -Force + Set-Service ... -StartupType Disabled。
• 若关了进程仍慢（如 WSearch 索引服务也在抢 I/O），别为加速去停系统服务/重启——解密安全可靠不丢数据，让它在后台跑完即可，周期性查进度。向用户说明"慢但安全"，给出停 WSearch / 重启两个激进选项让其拍板。

2. 系统完整性修复工作流（SFC + DISM）

SFC/DISM 都需管理员权限（非提权会报 error 740）。通过 bash 终端启动：

# 提权执行（会弹 UAC，用户需确认）
powershell -NoProfile -Command "Start-Process powershell -ArgumentList '-NoProfile','-ExecutionPolicy','Bypass','-File','%USERPROFILE%\_run_sfc.ps1' -Verb RunAs -Wait"

顺序：

1. SFC /scannow — 检测损坏文件。看结果别用重定向的 stdout（PowerShell Out-File 默认 UTF-16 且进度条 \r 混入乱码），直接看 `%SystemRoot%\Logs\CBS\CBS.log` 尾部找 Cannot repair member file ... hash mismatch / Could not reproject corrupted file ... source file in store is also corrupted。
2. 若 SFC 报"源文件也损坏"（WinSxS store 里那份也坏）→ SFC 修不动，需 DISM /Online /Cleanup-Image /RestoreHealth（联网从微软拉取正确副本，耗时 10-20 分钟）。
3. DISM 完成后重跑 SFC 确认目标文件已修复。

读 SFC/DISM 结果文件（PowerShell 重定向是 UTF-16 且带 \0 干扰）：

data=open(r'%USERPROFILE%\_xxx_result.txt','rb').read()
for enc in ['utf-16-le','utf-8']:
    try: t=data.decode(enc,'replace'); print(t); break
    except: pass

CBS.log 关键行：

• [SR] Cannot repair member file [l:..]'img105.jpg' of Microsoft-Windows-ThemeUI-... hash mismatch → 文件损坏
• [SR] Could not reproject corrupted file ... source file in store is also corrupted → WinSxS 源也坏，需 DISM

3. 个性化恢复（壁纸 / 透明 / 锁屏）

壁纸恢复（设普通横屏壁纸，绕开聚焦缓存）：

Add-Type -TypeDefinition @"
using System; using System.Runtime.InteropServices;
public class Wallpaper { [DllImport("user32.dll",CharSet=CharSet.Auto)] public static extern int SystemParametersInfo(int uAction,int uParam,string lpvParam,int fuWinIni); }
"@
[Wallpaper]::SystemParametersInfo(20, 0, "%SystemRoot%\Web\Wallpaper\Windows\img0.jpg", 3)
Set-ItemProperty "HKCU:\Control Panel\Desktop" Wallpaper "%SystemRoot%\Web\Wallpaper\Windows\img0.jpg"
Set-ItemProperty "HKCU:\Control Panel\Desktop" WallpaperStyle "6"   # 6=拉伸, 0=居中
Set-ItemProperty "HKCU:\Control Panel\Desktop" TileWallpaper "0"

• SystemParametersInfo(20,...) 触发即时刷新（只改注册表不生效）；fuWinIni=3 = SPIF_UPDATEINIFILE|SPIF_SENDWININICHANGE。
• 候选壁纸：%SystemRoot%\Web\Wallpaper\Windows\img0.jpg（横屏自带）、%SystemRoot%\Web\4K\Wallpaper\Windows\*.jpg、用户 Pictures/Downloads。
• 注意：Windows 聚焦缓存图多为竖屏（如 1080x1920），不适合横屏桌面——设普通壁纸更稳。

透明状态栏恢复：

Stop-Process -Name dwm -Force   # 系统自动重启 DWM，桌面闪一下

• 也可先翻转 EnableTransparency 0→1（reg add ... /d 0 /f 再 /d 1 /f）触发刷新，rundll32 user32.dll,UpdatePerUserSystemParameters。
• 检查服务：sc query UxSms（主题服务）、sc query Themes 应 RUNNING。

4. OEM 软件残留清理（联想百应等）

• 先备份再删：残留文件（Vantage 管理的 Addin 数据）有权限保护，直接 rm 会 Permission denied。
• 备份：reg query 导出启动项值 + 复制文件到桌面备份目录。
• 删除：需提权（PS 提权脚本 + -Verb RunAs）；删 %ProgramData%\Lenovo\<app>\、Vantage 下该 app 的 EventPump\*.xml、ConfigService\*.json、UICacheConfig\<app>\、启动项 HKCU\...\Run\<app>。
• 删除前确认是残留而非本体：查服务（sc query）、进程（tasklist）、卸载注册表项（HKLM\...\Uninstall）——本体已删、无进程无服务才只剩残留。百应残留文件不含功耗墙设置（那在 EC 固件层）。
• 坑：重装某 OEM 软件（如联想百应）会引入其内置的 Vantage 组件，与系统现有独立 Vantage 冲突——用户若问要不要重装，先确认会不会引入冲突。
• 验证删除：reg query 启动项返回空、ls 目标目录不存在、Vantage 服务仍 RUNNING（只删了 Addin 数据没动 Vantage 本体）。

5. 排查纪律

• 症状 ≠ 配置丢失：透明/壁纸的注册表值常仍正确但没生效，先查实际渲染（重启 DWM、设普通壁纸）和文件存在性。
• BitLocker 恢复不等于系统致命损坏：先 SFC/DISM 确认系统文件，事件日志里常见噪音（如 Schannel 36871 是 Clash TUN 误伤，与 BitLocker 无关）要识别排除。
• DISM 需联网且耗时长（10-20 分钟），放后台跑 + notify_on_complete，期间处理并行的小问题。
• 提权操作会弹 UAC，告知用户需确认；DISM/SFC 提权脚本可合并在一个 PS 文件里减少弹窗次数。

支持文件

• references/bitlocker-aftermath-20260820.md — 本次 BitLocker 恢复实战：img105.jpg 损坏全链路（SFC→DISM→重跑）、壁纸/透明修复实测
• references/bitlocker-decrypt-20260820.md — BitLocker 三盘全解实战：全盘诊断、自动解锁密钥坑、manage-bde -off 流程、后台监控踩坑