Windows Hello、PIN 与密码：三者是什么关系

核验于 2026-10-292 分钟阅读

为什么 PIN 不是更弱的密码、忘记之后怎么办，以及哪条恢复路径真的有效。

测试环境Pro (26H2) · 版本号 26300.9457 · x64

版本号: 26300.9457
版本: Pro (26H2)
架构: x64
支持: 文档（E1）
证据: E1官方文档
核验日期: 2026-10-29
页面类型: 概念

一句话结论

三种看起来都像“登录”的东西：

凭据	是什么	绑定于
密码	账户真正的秘密	账户（本地或在线）
PIN	解锁某个密钥的本地手势	本机 + TPM
Hello（人脸/指纹）	解锁同一个密钥的生物方式	本机 + TPM

PIN 不是缩短版密码。它从不离开设备，也无法在另一台机器上使用——这就是它比在咖啡馆笔记本上敲密码更安全的原因。

PIN 为什么更强而不是更弱

在微软账户机器上，PIN 解锁一对由 TPM 保护的密钥。设备上并不存储用于校验 PIN 的密码本体。

推论：

拿走硬盘也拿不到 PIN。
PIN 在另一台设备上无效。
重置 TPM 会毁掉 PIN——如果开着 BitLocker，还可能触发恢复。

Get-Tpm | Select-Object TpmPresent,TpmReady,TpmEnabled,TpmOwned
Get-CimInstance -Namespace root\cimv2\Security\MicrosoftTpm -ClassName Win32_Tpm -ErrorAction SilentlyContinue |
  Select-Object SpecVersion,ManufacturerIdTxt

忘记 PIN

情况	路径
微软账户机器、有另一台设备	我忘记了我的 PIN → 账户验证 → 设置新 PIN
本地账户	没有 PIN 恢复：用密码登录
密码也不知道、本地账户	密码重置盘、另一个管理员账户，或重装
TPM 被清除/更换	PIN 已失效；用密码登录后重建

本地账户的 PIN 没有离线恢复——这是它绑定设备的代价。

没有 TPM 的机器

Windows 11 要求 TPM 2.0，所以这基本是虚拟机问题：没有 vTPM 就没有 Hello PIN 与设备加密。在虚拟机里应添加虚拟 TPM，而不是绕过要求。

Get-CimInstance -Namespace root\cimv2\Security\MicrosoftTpm -ClassName Win32_Tpm |
  Select-Object IsEnabled_InitialValue,IsActivated_InitialValue,SpecVersion

多人一机

每个账户有自己的 PIN 和自己的 Hello 注册。A 登记的指纹不会解锁 B——Windows 按账户隔离凭据提供程序。

共用机器（家庭、实验室）的正确做法是每人一个账户，另设一个本地管理员，而不是一个共享账户加一个共享 PIN。

实验室边界

E1。Hello/PIN 架构有微软文档依据。实验室虚拟机使用 vTPM，原则上支持 Hello，但没有生物识别硬件可注册。