企业官网建设流程全解析

1. 先弄明白 Windows Hello 到底解决了什么问题

我装过的机器不少，从老笔记本到台式机自己组的面部识别那一套，Windows Hello 这个功能算是少数几个我装完系统第一件事就去配的东西。它不是一个单独的软件，也不是某个品牌的摄像头驱动，而是 Windows 内置的一整套本地身份验证框架，说白了就是把"输入一长串密码"这件事，换成"看一眼""按一下手指"或者"敲四位数字"。听起来像个偷懒的设计，实际上它解决的是很现实的问题：人天生不愿意记复杂密码，于是所有人都在用同一个弱密码，或者干脆把密码贴在显示器边框上。

Windows Hello 的核心价值就在这里——它用一套绑定到这台机器、绑定到这个账户的本地凭据，替代了那个被反复输入、容易被偷看、容易被撞库的账户密码。支持人脸识别、指纹识别、PIN 码以及符合 FIDO2 标准的外部安全密钥这几种方式，其中 PIN 是人人都能用的保底方案，生物识别则取决于你机器上有没有对应的硬件。

它适合谁？三类人最该配：一是笔记本用户，尤其是经常在咖啡厅、通勤路上开合盖的人，指纹或人脸比敲密码快得多也隐蔽得多；二是台式机用户，一个几百块的带红外摄像头或者 USB 指纹模块就能把体验拉起来；三是有一定设备管理需求的用户，比如想让家里老人小孩也能在一台共享机器上各有各的登录方式。至于完全离线、从不联网的隔离机器，配置它的收益就不大了，反而多一层可能出问题的环节。

1.1 它不止是"刷脸登录"，而是一整套凭据体系

很多人把 Windows Hello 等同于刷脸，这个理解有偏差。严格来说，它是四条并行的验证通道，每条通道的硬件门槛、安全等级和适用场景都不一样，值得掰开来说。

PIN 码是基础通道，也是唯一一条不依赖任何额外硬件的通道。它跟银行卡密码最大的区别在于：PIN 不是用来验证"你知道什么"，而是用来解锁一个存放在本机的密钥容器。你输入的这串数字，本质上是一把钥匙的开锁口令，真正的身份证明是容器里那对非对称密钥。

指纹识别走的是 Windows 生物识别框架，需要指纹读取器驱动符合相应规范。它的优势是速度快、单手可操作，缺点是手指状态影响很大——冬天手干裂、夏天出汗、刚洗完手，识别率都会有波动。

人脸识别必须是带红外深度感知的摄像头，普通 RGB 摄像头做不了。这一点新手最容易踩坑，后面会专门讲。

外部安全密钥是最硬核的一条路，一个 USB 或 NFC 的硬件密钥，插上去碰一下就能登录，安全性最高，但日常便利性最差。

注意：不同机器的实测速度差异很大，上面这组数据是在一台 8 代酷睿笔记本上重复测三十次取的中位数，只做量级参考，不要拿它跟你的设备硬比。

1.2 为什么 Windows 要强推 PIN 而不是让你继续用密码

这个问题我刚接触时也想不通，明明有密码了，为什么还要多设一个四位或六位数的 PIN？后来看了微软的几份安全文档才明白，两者防的东西根本不一样。

账户密码是网络凭据，它在很多场景下会被发送到服务器端做校验，也就是说你的密码在传输和存储过程中，理论上存在被中间环节接触的可能。而 Windows Hello 的 PIN 从头到尾都只在这台设备本地使用，它不参与网络身份验证，也不会上传到任何服务器。PIN 解锁的是一个本机的密钥容器，容器里的私钥永远不会离开这台机器。

真正完成身份验证的，是那一对密钥。登录时系统用私钥对一段随机数据签名，服务器端用公钥验证签名，全程密码本身不出现。这就是为什么即使有人在旁边看到了你的 PIN，他也只能在这一台设备上解锁，无法拿去登录你的账户——因为他没有这台设备的密钥容器。

这也解释了一个常见现象：你在 A 电脑上设了 PIN，换到 B 电脑登录同一个账户，B 电脑会要求你重新设置 PIN。因为密钥容器是本机的，不是账户级的。

1.3 生物特征数据存在哪里，隐私上会不会被上传

这是我最常被问到的问题，也是决定很多人敢不敢开这个功能的关键。结论很明确：指纹和面部的模板数据经过加密后保存在本机，不会以原始图像的形式上传到云端。

具体流程是这样的——你录入指纹时，系统提取的是特征点生成的数学模板，而不是指纹图像本身；人脸录入时提取的是面部几何特征，同样不是照片。这些模板被加密后存放在受系统保护的本地数据库里，由生物识别服务调用比对。比对过程也完全在本机完成，网络不通的情况下照样能解锁。

不过有一点需要说清楚：模板数据虽然在本地，但它和你的 PIN、账户是绑定的。如果你重装系统或者更换了主要硬件，这些模板会失效，必须重新录入。这不是 bug，是设计如此——防止有人把硬盘拆下来搬到另一台机器上绕过验证。

提示：如果你对这类数据特别敏感，可以只开 PIN 不开生物识别，安全性并不会因此大幅下降，因为核心的密钥保护机制在 PIN 那条路径上同样生效。

2. 安装之前的硬件与系统体检

直接冲到设置里点"添加指纹"然后发现选项是灰的，这是我见过最多的翻车现场。Windows Hello 的配置入口看起来很简单，但背后有一串硬性前置条件，任何一条不满足，对应的选项就直接不可用，而且提示信息往往含糊得让人抓狂。所以我的习惯是，动手之前先花五分钟做一遍体检，把该确认的都确认掉，比事后一个个排查错误码省事得多。

这套体检流程无论你是新装系统、刚买的机器，还是帮别人远程处理，都适用。核心就查四件事：系统版本和账户类型、TPM 状态、生物识别硬件是否就位、驱动是否装对。这四件事按顺序查下来，基本能把九成以上的"选项灰掉"问题定位清楚。

2.1 系统版本、账户类型与固件模式

系统版本这一条，Windows 10 和 Windows 11 都支持 Windows Hello，但一些细节功能有差异。比如 Windows 11 在指纹和人脸的管理界面里多了"改善识别"的入口，Windows 10 的部分版本没有。功能主体在家庭版和专业版上都可用，不需要额外的版本授权。

账户类型这一条容易被忽略。如果你用的是本地账户登录，PIN 和生物识别都能配，但部分恢复选项和跨设备同步能力会受限。如果你用的是微软账户登录，忘记 PIN 之后的找回流程会顺畅很多，因为它可以借助邮箱或手机号完成身份验证。我一般建议家里常用机器登录微软账户，不是为了同步，而是为了 PIN 忘了以后有条退路。

固件模式指的是传统 BIOS 还是 UEFI。这一点跟 TPM 强相关——UEFI 模式下 TPM 才能被正常识别和启用，很多老机器默认是传统模式，装完系统才发现 TPM 不可用。检查方法是在运行框输入msinfo32，看"BIOS 模式"这一行。

# 查看固件模式与安全启动状态 Confirm-SecureBootUEFI # 查看系统版本信息 Get-ComputerInfo | Select-Object WindowsProductName, WindowsVersion, OsHardwareAbstractionLayer

如果Confirm-SecureBootUEFI直接报错说"此平台不支持安全启动"，那基本可以确定当前是传统 BIOS 模式，需要进固件设置切换成 UEFI。这个操作有风险，切换前要确认系统盘是 GPT 分区格式，否则切完开不了机。

2.2 TPM 状态怎么查，注意哪些坑

TPM 是 Windows Hello 的地基，尤其是 PIN 那条路径。没有可用的 TPM，PIN 功能在很多情况下会直接不可用，或者退化成不安全模式。

图形界面查法最简单：运行框输入tpm.msc，回车。窗口里会显示"状态：TPM 已就绪，可以使用"，以及规范版本。Windows Hello 需要的是 TPM 2.0，1.2 版本在部分场景下会有限制。

命令行查法更细，能看到是否启用、是否激活：

# 查看 TPM 详细状态 Get-Tpm

输出里关注四个字段：TpmPresent（是否存在）、TpmReady（是否就绪）、TpmEnabled（是否启用）、TpmActivated（是否激活）。理想状态是四个全为 True。

最容易踩的坑是"固件里有 TPM 选项但默认关闭"。很多主板出厂时 TPM Device 是 Disabled 状态，尤其是自己组装的台式机。进固件设置找到 Security 或 Advanced 菜单下的 TPM / PTT / fTPM 选项（不同厂商叫法不同），设为 Enabled，保存重启即可。

注意：如果你开启了 BitLocker，改动 TPM 相关设置前一定要先暂停 BitLocker 保护，否则重启后可能要求输入恢复密钥。这一步千万不要跳过。

2.3 摄像头和指纹模块的甄别方法

人脸识别这块，硬件门槛是新手翻车最集中的地方。核心判断标准只有一条：必须是带红外功能的摄像头。

市面上大量 USB 摄像头、笔记本内置摄像头都是纯 RGB 的，能拍视频、能开会议，但做不了 Windows Hello。判断方法有两个，一是看产品页有没有明确标注"支持 Windows Hello"或"红外双摄"，二是接上电脑后在设备管理器里看。

# 列出所有摄像头和生物识别设备 Get-PnpDevice -Class Camera,Biometric -Status OK | Select-Object FriendlyName, Class, InstanceId

支持人脸识别的设备，通常会出现两个摄像头条目：一个普通的 RGB 摄像头，一个名字里带"IR"或"红外"的摄像头。只看到一个，基本就是纯 RGB，用不了。

指纹模块的判断简单一些，设备管理器里出现"生物识别设备"分类，并且下面有指纹读取器的条目，就说明驱动已经就位。没有这个分类，或者分类下有黄色感叹号，说明驱动有问题，见下一小节。

外接设备的话，我建议优先选明确标注支持 Windows Hello 的型号，价格通常比普通款贵一些，但省掉大量调试时间。USB 指纹模块的兼容性整体不错，插上装好驱动就能用。

2.4 驱动安装与"设备看得见但用不了"的处理

设备管理器里能看到硬件，但设置里选项还是灰的，这种情况八成是驱动问题。原因在于 Windows Hello 不认设备的物理存在，它认的是驱动有没有正确注册生物识别服务接口。

处理顺序我一般是这样的：先去设备管理器找到对应设备，右键卸载，勾选"删除此设备的驱动程序软件"，然后重启让系统重新识别。系统自带驱动库里有不少通用驱动，重启后往往能自动装好。如果还是不行，再去厂商官网下载对应型号的驱动，注意区分 Windows 10 和 Windows 11 版本。

指纹模块还有一种特殊情况：部分老设备使用的驱动不支持新的生物识别框架，只能在厂商自带的登录软件里用，跟 Windows Hello 不互通。这种就没有办法通过配置解决，只能换硬件。

红外摄像头的情况更微妙一些。有些摄像头需要额外装一个"Windows Hello 人脸识别驱动"才能被识别为人脸识别设备，光装通用摄像头驱动是不够的。买之前最好确认一下厂商有没有提供这个驱动，或者看看同款在社区里的评价。

3. 手把手配置：PIN、指纹、人脸三条路

体检做完，硬件也确认没问题了，接下来就是实际配置。我按推荐的配置顺序来讲：先 PIN，再生物识别。这个顺序不是随便定的，因为生物识别在某种程度上是"附加在 PIN 之上"的——当你忘记 PIN 的时候，系统需要一条验证路径让你重设，而这条路径通常和你的账户绑定。先把 PIN 配好，后面出问题的时候才有退路。

配置入口统一在"设置 → 账户 → 登录选项"里。Windows 11 的界面把几块内容分得比较清楚，从上往下依次是面部识别、指纹识别、PIN、安全密钥、密码。每块下面会显示当前状态，是"未设置"还是已配置好。

3.1 PIN 的创建、修改与忘记之后的恢复

点开 PIN 那一栏的"添加"，会弹出一个输入框。这里有个细节很多人不知道：系统首先要求你输入当前账户密码做一次验证，然后才让你设 PIN。这一步是在建立 PIN 和账户之间的绑定关系，不能跳过。

PIN 的格式要求是至少 4 位数字，可以勾选"包括字母和符号"来设置成复杂形式。我的建议是：如果这台机器放在家里、办公室这种相对可控的环境，纯数字 6 位就够了，图的是快；如果经常带出门，勾上字母符号会更稳妥，代价是每次输入慢一点。位数方面，4 位在有旁人窥视的场景下略显单薄，6 位是个不错的平衡点。

忘记 PIN 的处理是重点。点击输入框下方的"我忘记了我的 PIN"，系统会走一次身份验证流程。微软账户的话，会要求你验证绑定的邮箱或手机号，验证通过后直接重设。本地账户的话，会根据你之前设置的安全问题来验证，如果安全问题也忘了，那就只能走账户密码重置的老路，比较麻烦。

# 查看当前账户类型（是否为微软账户） whoami /upn # 若返回邮箱格式，说明是微软账户；报错则可能是本地账户

这里有个我踩过的坑：PIN 连续输错多次会触发锁定，默认是输错 5 次锁 30 秒，多次触发后锁定时间会拉长。如果你刚换了键盘布局或者手抖输错，别一直试，等一会儿再输，或者直接用密码登录进去后重设 PIN。

提示：PIN 重设之后，之前用 PIN 保护的那些凭据（比如某些应用的登录状态）可能需要重新验证一次，这是正常现象，不是你操作错了。

3.2 指纹录入的具体操作与提高识别率的技巧

指纹录入的过程看着简单，就是反复按手指，但按的方式直接决定后面的识别率。系统会要求你重复按压十几次，每次微调角度，目的是采集到同一手指不同区域的图像。

我的操作经验是这样的：把手指自然放在传感器上，用力适中，不要用力压扁。每次抬起后稍微转几度再按下，覆盖指纹的中心和边缘。系统提示"再试一次"的时候不要着急，跟着它的节奏走。录完之后，还有一个"添加另一根手指"的选项，强烈建议再加一根，通常是另一只手的食指，这样一只手不方便的时候可以用另一只。

提高识别率的三个实用技巧：

第一，每个手指可以重复录入两次。Windows 允许同一根手指创建多个指纹条目，系统在识别时会匹配所有条目，成功率明显提升。这不是浪费，我实测下来效果相当好。

第二，根据使用季节调整录入状态。如果你冬天手部干燥容易脱皮，那就在冬天录一遍；如果你是汗手，就在手部正常状态下录。录入时的状态和日常使用状态接近，识别率才高。

第三，Windows 11 里有"改善识别"按钮（在指纹或人脸的管理界面里），解锁失败几次后可以点它，系统会引导你补充采集，把经常失败的角度补进去。

3.3 人脸识别录入的姿势、光照与"改善识别"

人脸识别的前提是红外摄像头工作正常。配置入口点进去之后，会有一段简短的引导，告诉你把脸放在画面中央，保持直视。整个录入过程大概十几秒，比指纹快。

姿势方面，我的建议是保持日常最常出现的状态。戴眼镜的，录入时就戴着眼镜；平时会戴帽子的，如果帽子遮挡不大，可以戴着录，但如果遮挡明显建议摘掉。刘海比较长的，稍微拨开一点，保证眉毛和眼睛区域清晰。录入时正对摄像头，不要低头也不要抬下巴。

光照条件这块值得展开说。很多人以为红外摄像头不怕黑，其实不完全对——红外摄像头确实能在低光环境下工作，但强逆光是它的克星。如果你背后有一扇很亮的窗户，红外图像会被冲淡，识别会变得不稳定。所以录入时最好选一个光线均匀的位置，避免正对或背对强光源。日常使用中如果发现某个位置总是识别失败，换个角度试试。

Windows 11 的人脸管理界面里有"改善识别"选项，解锁失败几次后系统会主动提示你改善识别效果。点进去会重新走一遍采集流程，把之前没覆盖到的角度和表情补进去。这个功能对"偶尔识别不了"的情况改善非常明显，我建议第一次配好之后，用一周左右再点一次做补充采集。

还有一个细节：Windows 会记录你戴着眼镜和不戴眼镜的两种状态。我平时在家不戴眼镜，出门戴，一开始总是在戴眼镜时识别失败。后来戴着眼镜重新录了一遍"改善识别"，问题就解决了。

3.4 恢复方式与安全问题的设置

这一步经常被跳过，但我觉得它是整个配置里最该重视的部分。恢复方式决定了你忘记 PIN 或者生物识别失效时，能不能顺利找回访问权限。

在 PIN 的设置界面里，会看到"我忘记了我的 PIN"这条路径需要验证的信息，通常是绑定的邮箱或手机号。我建议配置完成后，专门去账户安全设置里确认一下这些联系方式还是有效的——尤其是换了手机号之后忘了更新，等到真需要的时候才发现收不到验证码，那种情况很崩溃。

本地账户用户还有一个"安全问题"的环节，需要设置三个问题和答案。设置的时候别选那些答案会变的，比如"你最喜欢的餐厅"——过两年你自己都记不清当时填的是哪家。选相对固定、答案唯一的，比如某个具体的名字或数字。

注意：恢复方式和 PIN 是两套东西，生物识别再多也不能替代恢复方式的作用。三条腿都要立住：PIN、生物识别、恢复联系方式。

3.5 企业或受管控设备上选项被灰掉的应对

如果你在公司的电脑上操作，可能会发现 PIN 或者生物识别选项是灰的，鼠标点上去还有一句"你的组织已关闭此功能"之类的提示。这种情况不是硬件问题，而是组策略或者移动设备管理策略在起作用。

最常见的几种管控策略：

# 查看与 Windows Hello 相关的策略注册表项 Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System" -ErrorAction SilentlyContinue | Select-Object AllowDomainPINLogon, AllowSecondaryAuthenticationDevice

AllowDomainPINLogon这一项如果被设为 0，域环境下 PIN 就被禁用了。这种情况你个人改不了，需要找 IT 管理员申请。有些公司的策略是允许 PIN 但禁止生物识别，有些反过来，还有些会强制要求 PIN 必须是复杂形式（字母加符号加数字）。这些都属于企业策略范畴，本文不展开，但你要知道这不是你的机器坏了。

个人设备如果莫名其妙被灰掉，可以先检查一下是不是登录了工作账户。系统识别到工作账户后，会把企业策略应用到整个设备，哪怕这是你自己买的电脑。处理方式是在"设置 → 账户 → 访问工作或学校"里把不需要的工作账户断开，重启后再看选项是否恢复。

4. 实际体验：速度、稳定性与场景适配

配置只是开始，日常用起来顺不顺手才是关键。我在这台主力机上前后用了几年，中间换过硬盘、重装过两次系统、加过外接指纹模块，各种组合都试过。这一部分不讲怎么配，只讲配好之后到底什么感觉，哪些场景体验好，哪些场景会让人想砸键盘。

我的主力机是一台轻薄本，内置指纹和红外摄像头都有，另外配了一个带指纹的无线键盘给台式机用，也试过 USB 外接指纹模块。下面这些数据是断断续续测出来的，不是实验室环境，只代表个人使用感受。

4.1 解锁速度与成功率的自测数据

先说体感。开机到桌面的整个流程里，Windows Hello 最爽的地方不是快，而是"不用想"。敲密码需要调出记忆、组织手指位置、注意有没有人在看，这一串心理活动都没有了，抬手一按就进去了。这个心理成本的降低比那几秒的时间节省更值钱。

具体到数字，我在同一台机器上各测了三十次：

指纹的成功率我有过一次明显提升，是在把同一根手指录了两遍之后，从九成上下提到了接近 98%。这个改动成本极低，收益很大，强烈建议所有人都这么做。

人脸识别的失败主要集中在一个场景：刚从外面进来，脸上有点汗或者戴着围巾遮住了下半张脸。冬天这个情况挺常见，我的做法是配合指纹一起用，人脸失败就顺手按一下指纹，两条路都在就基本不会有被卡住的感觉。

4.2 外接设备、扩展坞与虚拟机的表现

笔记本内置的方案整体最稳定，毕竟厂商做过整机适配。外接设备的情况就复杂一些。

扩展坞场景：我用的扩展坞带外接显示器，笔记本合盖的情况下，人脸识别依然能用，因为红外摄像头是笔记本内置的。但如果你的摄像头是接在扩展坞上的外接款，合盖后可能出现"摄像头被占用"或者识别延迟的问题。这种情况通常是 USB 带宽分配的问题，把摄像头插到扩展坞的独立 USB 口而不是和硬盘共用同一个控制器，会好很多。

外接指纹键盘：这类产品体验差异较大。我试过的一款，指纹模块走的是标准生物识别框架，插上装好驱动就能用，和内置指纹共存互不干扰。但也见过一些走私有协议的，只能在厂商自带的软件里用，Windows Hello 里看不到。买之前一定要看清楚描述里有没有"支持 Windows Hello"这几个字。

虚拟机场景：这一块要说清楚，虚拟机的 Windows Hello 配置方式和物理机完全不同。VMware 和 VirtualBox 都可以通过设置把宿主机的指纹设备或者摄像头直通给虚拟机，但稳定性一般，而且 TPM 也需要虚拟化支持。我的建议是，如果你在虚拟机里做测试，先用 PIN 跑通流程，生物识别这类直通功能能不用就不用，很容易出现宿主机和虚拟机抢设备的情况。

# 检查设备是否被其他进程占用（以摄像头为例） Get-Process | Where-Object {$_.Name -match "camera|video"} # 更直接的方式是在设备管理器里看设备属性中的"事件"标签

4.3 与 BitLocker、密码管理器、安全密钥的配合

这一段是我觉得最有必要讲清楚的，因为很多人在理解上有偏差。

Windows Hello 的 PIN 和 BitLocker 的启动 PIN 是两回事。前者是登录 Windows 之后用的，后者是开机时在系统启动之前输入、用来解密硬盘的。两者完全独立，可以同时存在。如果你开了 BitLocker 并设置了启动 PIN，那么开机流程是：先输 BitLocker 启动 PIN 解密硬盘 → 进入登录界面 → 用 Windows Hello 登录。两段验证，安全性很高，但日常会多一步。

我的做法是不设 BitLocker 启动 PIN，让 TPM 自动解锁硬盘，登录环节用 Windows Hello 生物识别。这样开机是一步到位的，安全性和便利性平衡得比较好。当然，如果你的设备经常带出门、丢失风险高，加上启动 PIN 是值得的。

和密码管理器的配合：主流密码管理器都支持用 Windows Hello 做本地解锁。也就是说，你进浏览器要填某个网站的密码时，不需要再输一次主密码，按一下指纹就自动填充了。这个体验非常顺，而且它用到的正是同一套密钥保护机制。我强烈建议把密码管理器的解锁方式换成 Windows Hello，日常使用效率提升很明显。

和安全密钥的配合：如果你有多台设备需要登录同一个账户，硬件安全密钥是比设备内置生物识别更通用的方案。安全密钥可以跨设备使用，插到任何一台支持的机器上都能验证，不需要每台机器都录一遍指纹。缺点是它需要随身携带，而且有一个物理设备的丢失风险，所以建议配两把，一把备用。

5. 常见故障排查实录

这一部分是我这些年处理过的各种问题的汇总，按现象分类。Windows Hello 的问题有一个特点：提示信息普遍笼统，很少直接告诉你原因。所以排查的核心方法是"分层定位"——把整条链路拆成硬件层、驱动层、服务层、策略层，一层层排除，比盲目重启有效得多。

下面列的这些问题，有些我自己遇到过，有些是帮人远程处理时碰上的。我会把判断依据和处理步骤都写清楚，你照着对比自己的情况就行。

5.1 "此选项当前不可用"的三类原因

这句话是出现频率最高的提示，它可能对应三种完全不同的原因，必须分类处理。

第一类：硬件缺失或不可用。打开"设置 → 账户 → 登录选项"，如果指纹那一栏下面显示的是"此选项当前不可用"，而且设备管理器里根本没有生物识别设备，那就是硬件不支持或者没装。这种情况先按第 2 章的方法确认硬件，别浪费时间在软件配置上。

第二类：TPM 未就绪。如果 PIN 那一栏也显示不可用，同时tpm.msc里显示未就绪，那问题就在 TPM。进固件设置启用，或者更新固件版本。有些主板需要先更新 BIOS 才支持 TPM 2.0，这一点在老机器上很常见。

第三类：策略限制。硬件和 TPM 都正常，但选项还是灰的，鼠标悬停会有"你的组织已关闭此功能"之类的提示。这就是策略问题，参考 3.5 节的说明处理。

5.2 指纹失灵与误识别的处理顺序

指纹失灵有两种表现：一种是完全识别不了，一直提示"请再试一次"；另一种是识别到了但不是你，也就是误识别——这种情况极少但确实存在，通常发生在采集质量差、特征点太少的时候。

识别不了的处理顺序我一般是这样的：先擦一下传感器和手指，这是最常见的原因，尤其夏天手指出汗或者沾了油脂。然后看是不是手指状态变了，脱皮、起茧、有小伤口都会影响。这些都排除了，就删掉原有指纹重新录入，录入时注意覆盖不同角度。

如果重录之后还是经常失败，可以用 Windows 11 的"改善识别"功能做补充采集。还是不行，那就要怀疑驱动问题了：去设备管理器卸载设备并勾选删除驱动，重启后重新识别。最后一步才考虑硬件本身有故障，这种情况在用了三五年的笔记本上偶有出现。

误识别的问题反过来处理：如果发现解锁时不需要你的手指也能通过，立刻删掉所有指纹重新采集，并且在采集时保证手指完整覆盖传感器中心区域。这种情况在特征点采集不足时会出现，重新规范采集基本能解决。

注意：如果你的指纹传感器表面有明显划痕或者磨损，识别率会持续下降且无法通过软件改善，这种情况只能更换硬件。笔记本的话可能需要连键盘面板一起换，成本不低，权衡一下值不值得。

5.3 换主板、重装系统、克隆硬盘之后的 PIN 失效

这是最容易让人慌的场景：机器一切正常，但登录时提示 PIN 不可用，必须点"我忘记了我的 PIN"重新设置。原因就是前面说的，PIN 和本机的密钥容器绑定，硬件标识变了或者系统重装了，容器就失效了。

重装系统后：这属于预期内的行为，重新配置一遍就行。顺序还是先 PIN 后生物识别。如果你重装前备份过账户，登录后系统可能会提示你"此设备的 PIN 已失效"，按提示重设即可。

更换主板后：这是最麻烦的情况。主板更换意味着 TPM 芯片也换了，本机的密钥容器完全失效。这时候如果原来的账户是微软账户，重设 PIN 的流程还能走通，验证邮箱或手机号即可。如果是本地账户并且安全问题也忘了，那就只能走账户密码重置，甚至可能需要重装。

克隆硬盘后：把系统盘克隆到另一台机器上，会出现 PIN 失效甚至无法登录的情况。更严重的是，如果原盘开了 BitLocker，克隆后的盘在新机器上会要求输入恢复密钥，因为 TPM 不匹配。所以克隆系统盘之前，一定要先把 BitLocker 恢复密钥备份出来，这个密钥在账户的在线管理页面里可以查到。

5.4 TPM 与 NGC 相关的错误码处理

有些问题会直接弹出一个错误码，比"选项不可用"好定位一些。常见的几个我列在下面。

0x80090016：这个错误码通常和 TPM 或者密钥存储有关，表现为 PIN 设置失败或者生物识别无法启用。处理的第一步是确认 TPM 状态正常，然后可以尝试清理本机的密钥容器。清理操作有风险，会删除当前账户在本机的所有 Windows Hello 凭据，需要重新配置。

# 查看 NGC 密钥容器目录（需先确认当前 PIN 已移除） Get-ChildItem "$env:LOCALAPPDATA\Microsoft\Ngc" -Force -ErrorAction SilentlyContinue # 如需清理（高风险操作，执行前请确认已移除 PIN 并了解后果） takeown /f "$env:LOCALAPPDATA\Microsoft\Ngc" /r /d y icacls "$env:LOCALAPPDATA\Microsoft\Ngc" /grant "$env:USERNAME:(F)" /t Remove-Item "$env:LOCALAPPDATA\Microsoft\Ngc" -Recurse -Force

注意：清理 NGC 目录是最后手段，执行前必须先在设置里移除 PIN，并且清楚这会让你重新配置所有 Windows Hello 相关凭据。没有把握的话，先做系统还原点再动手。

0x8009000B：通常表示密钥不正确或者已损坏，处理方式和上面类似，也指向密钥容器的问题。

0x801C03F2：这个多半和账户验证流程有关，检查网络连接、确认账户状态正常，有时候重启一次就能解决。

TPM 相关的 0x80070490：表示设备找不到对应元素，常见于 TPM 驱动异常的情况，去设备管理器找到"安全设备"分类下的 TPM 条目，卸载后重新扫描硬件改动。

5.5 排查速查表

把上面这些整理成一张表，遇到问题的时候可以快速对照。

6. 用久了才明白的几个细节

前面讲的都是怎么配、怎么修，最后想聊几个用得时间长了才体会到的点。这些东西在任何官方文档里都找不到，但确实会实实在在影响你的日常体验。

6.1 我自己的配置习惯

我现在每台机器的配置流程基本固定下来了：装完系统先把 PIN 设成 6 位数字，然后录两根手指（左右手各一根，每根录两遍），有红外摄像头的再配人脸，最后检查一遍恢复联系方式是否有效。这个流程走下来大概五分钟，一劳永逸。

还有一点是我后来才想明白的：不要把所有验证方式都配满。听上去反直觉，但配得太多有时候会互相干扰。比如你在同一台机器上既配了指纹又配了人脸还配了安全密钥，偶尔会出现"系统不知道用哪个"的犹豫感，表现为解锁时反应变慢。我现在的做法是主力笔记本配指纹加人脸，台式机配 PIN 加外接指纹，各司其职，不贪多。

另外，带出门的机器我一定会额外配置一个安全密钥放包里，作为极端情况下的备用方案。比如指纹传感器突然坏了、人脸在强光下一直失败，插上密钥就能进。这个小东西平时用不上，关键时刻能救急。

6.2 几个值得打开的安全开关

Windows Hello 配好之后，还有几个相关的设置建议一起开上，能让整体安全性上一个台阶。

动态锁：设置里搜索"动态锁"，开启后绑定一个配对的手机。当你带着手机离开蓝牙范围时，系统会自动锁屏。这个功能对经常在办公室走动的场景特别有用，避免了"人走了屏幕还亮着"的尴尬。需要注意的是蓝牙范围大约十米，中间隔墙的话距离会缩短。

登录失败锁定：这个策略默认是开启的，输错多次后会临时锁定。如果你想调整次数或者时长，可以在本地安全策略里找到"账户锁定策略"进行配置。默认的 5 次 30 秒对个人用户够用了。

要求 Windows Hello 登录：在登录选项里有一个"为提高安全性，仅允许在此设备上对 Microsoft 账户使用 Windows Hello 登录"的开关。打开之后，密码登录路径会被隐藏，只能走 Windows Hello。这个设置安全性最高，但代价是如果 Windows Hello 出问题了，你得先想办法关掉它才能用密码进。我一般不开这个，保留一条密码退路。

6.3 后续还能怎么扩展

Windows Hello 这套机制现在已经不只是登录用了，它的应用面在慢慢扩大。最明显的一个方向是各类应用的本地解锁——密码管理器、银行客户端、部分开发工具，都在接入这套验证机制。这意味着你配好一次，很多地方都能受益。

另一个方向是无密码登录的普及。越来越多的在线服务开始支持用设备内置的验证能力来登录，背后使用的正是类似的技术路径。如果你现在就把 Windows Hello 配好、把恢复方式理清楚、把安全密钥备上，等这些新场景铺开的时候，你是无缝衔接的，不需要临时再折腾一遍。

如果你有多台设备，可以在账户的在线管理页面里看到所有已配置验证方式的设备列表，定期检查一下有没有不认识的设备，有的话及时移除。这个习惯跟定期改密码一样重要，只是很多人不知道有这么个页面。

我自己的体会是，Windows Hello 属于那种"配的时候花五分钟，用的时候省五年"的东西。它不完美，人脸识别在逆光下还是会翻车，指纹在冬天还是要多按一次，但整体上它把日常最高频的一个操作——登录——变得几乎无感了。这种改善不是那种能在参数表上看到的提升，是用惯了之后回到老机器上会不习惯的那种提升。