设备这条线，前面讲完了浏览器、苹果和安卓，这篇是最后一块：Windows。末尾会捎带一点 Linux。

一、先讲最重要的一点：Windows 上的程序权限有多大

手机上装个 App，它要看你的照片、通讯录、位置，都得先弹窗问你，你不给它就拿不到；App 之间还互相隔离，各自关在自己的沙盒里。Mac 也差不多，读文稿、读桌面、录屏都要先授权。

Windows 不是这样。你双击一个安装包，装完之后它基本上就能：

  • 读写你用户目录下的所有文件，文档、桌面、下载、照片，想翻哪个翻哪个，不需要问你；
  • 随时读剪贴板；
  • 截屏、录屏，知道你开着哪些窗口；
  • 开机自启，在后台一直跑；
  • 装驱动、装系统服务，拿到比你这个用户还高的权限。

你装的时候点的那个“是”（UAC 那个弹窗），给出去的就是这些。Windows 上确实也有权限设置，但那主要管从微软商店装的应用，传统的 exe 安装包基本不受它管。

所以有一条我要特别强调：除非必要，别在 Windows 上装国产 App，微信和 QQ 也一样。

不是说它们一定在翻你的文件，而是它们有这个能力，你完全没办法验证和限制。微信电脑版会把聊天记录、收到的文件明文存在你的硬盘上，开机自启，常驻后台。手机上它顶多是个受限的 App，在 Windows 上它就是个能翻遍你整台电脑的程序。

非要用的话，按麻烦程度排：

  • 能用手机就用手机，电脑上要传文件用第三篇讲的 LocalSend。
  • 用网页版，关在浏览器里，权限小得多。
  • 给它单独建一个 Windows 用户账户，用那个账户登录来用，你的主账户文件它就看不到了。
  • 放进虚拟机，最干净，但对普通人来说有点折腾。

二、新电脑到手：预装的那一堆

先破除一个说法：没有所谓的“国际版 Windows”。微软官网下载的 ISO，全世界都是同一个，里面包含各种语言和版本，装的时候选哪个就是哪个。国内买的电脑有问题的地方是另外两处。

OEM 预装软件

各家品牌的“电脑管家”“驱动助手”“安全中心”，再加上预装的国产杀毒软件试用版。这些东西推广告、收数据，有的还会往系统里装自己的根证书，这一点第一篇讲过：谁往你系统里装了根证书，谁就有能力解密你的 HTTPS 流量。

所以新电脑到手，我的建议是直接重装一遍：从微软官网下载 ISO，做个启动盘（比如ventoy），全新安装。驱动去电脑品牌官网下，或者让 Windows Update 自己装，别装那个“驱动大师”。

装的时候我建议直接选专业版（Pro），哪怕你手上没有专业版的密钥（但是不怕，详见 https://github.com/massgravel/microsoft-activation-scripts 请自己去学习）。原因在下一节：专业版可以正大光明地用本地账户，家庭版不行。没有密钥的 Windows 并不会不能用，只是右下角会有个水印，个性化设置（壁纸、主题、颜色）会被锁住，其他功能照常。讨厌这个水印就自己去读前面这个网址。

“家庭中文版”

国内买的笔记本，预装的一般是 Windows 家庭中文版，界面语言锁死在中文，换不了。主板里还烧了一个 OEM 密钥，重装的时候系统会读它，默认就给你装回家庭版。

安装界面上一般可以手动选版本，选专业版就好。家庭版和专业版对我们来说有两个实际差别：专业版可以直接用本地账户，不用微软账户；专业版有完整的 BitLocker 磁盘加密。这两点后面两节都会说到。具体到你自己的机器，重装前建议先确认一下。

不要装国产杀毒和“管家”

Windows 自带的 Defender 已经够用了，安静、不打扰、不推广告。国产杀毒软件普遍会常驻后台、接管浏览器主页、弹新闻弹窗、装根证书、收集上网记录。装它们的风险比它们防住的风险更大。

三、本地账户还是微软账户

Win11 装机时会想方设法让你登录微软账户。用微软账户的好处是设置能同步、找回设备方便；坏处是你的使用数据和账户绑在一起，而且磁盘加密的恢复密钥默认会上传到微软那里（下一节细说）。

这就是我建议装专业版的原因：专业版在装机时可以选择“为组织设置”一类的选项，然后直接创建本地账户，完全不需要微软账户。家庭版没有这条路，网上流传的各种“跳过联网”的命令，微软一直在封，今天有效明天就未必。

如果你已经用微软账户装完了，也可以事后再建一个本地账户：

  1. 设置 → 账户 → 其他用户 → 添加账户。
  2. 点“我没有这个人的登录信息”。
  3. 再点“添加一个没有 Microsoft 账户的用户”，设好用户名和密码。
  4. 把它提升为管理员，注销，用新账户登录，确认一切正常后再删掉原来的账户。

四、隐私设置

设置 → 隐私和安全性，这一页从上往下走一遍：

  • 常规：广告 ID、本地内容推荐、设置应用推荐，全关。
  • 诊断和反馈：“可选诊断数据”关掉；“定制体验”关掉；顺手点一下“删除诊断数据”。
  • 查找我的设备：自己权衡，丢电脑的风险和被定位的风险哪个更在意。
  • 语音识别、墨迹书写和键入个性化：全关。后者会把你打的字拿去建个人词库。
  • 应用权限：位置、摄像头、麦克风、通知、文件系统，逐个看过去。注意这里管得住商店应用，管不住传统桌面程序。
  • 召回（Recall）：如果你的电脑是 Copilot+ PC，这个功能会每隔几秒截一次屏，把你做过的事存下来供搜索。虽然数据存在本地、需要你主动开启，但我建议直接关掉，或者至少把敏感的应用加进排除列表。

另外，开始菜单和锁屏上的“推荐内容”“资讯和兴趣”也一并关掉：设置 → 个性化 → 开始 / 锁屏界面。

五、磁盘加密

笔记本丢了、被人拿走，没有加密的硬盘拆下来插到别的电脑上就能读，登录密码一点用都没有。

  • 专业版：用 BitLocker。控制面板 → BitLocker 驱动器加密，对系统盘开启。
  • 家庭版：没有完整的 BitLocker，但有“设备加密”（设置 → 隐私和安全性 → 设备加密），硬件支持的话打开它。

关键在恢复密钥。用微软账户的话，恢复密钥默认会上传到你的微软账户里，等于微软手上有一把钥匙。更稳的做法是选择把恢复密钥保存成文件或者打印出来，自己收好，别只留在云上。这跟第二篇里说的 FileVault 恢复密钥别交给 iCloud 是同一个道理。

顺带一提，加密之后一定要记得密码和恢复密钥。忘了就是真的打不开了，谁也帮不了你。

六、输入法

第三篇讲过 Citizen Lab 的那份报告：国内主流输入法的“云输入”普遍存在加密问题。电脑上同理，而且电脑上你打的东西往往更要紧。

两个选择：

  • 微软拼音：系统自带，够用。记得关掉云功能：设置 → 时间和语言 → 输入 → 微软拼音 → 常规，把“云候选”之类的开关关掉，另外“改进输入法”“提供个性化体验”也一并关了。
  • 小狼毫（Rime）：完全在本地跑，不联网，可定制性极强，代价是要花点时间配置。Mac 上对应的是鼠须管，安卓上是同文输入法，一套方案三个平台通用。

搜狗、百度、QQ 输入法，用不用你自己看着办。

七、软件从哪里装

国内搜个软件名，前几个结果往往是各种下载站，下回来的安装包十有八九捆了一堆东西，一不小心电脑上就多出五个浏览器。

几个靠谱的来源：

  • 微软商店（Microsoft Store）优先。商店里的应用经过微软审核和签名，安装过程不会往系统里乱塞东西；尤其是 UWP 那一类应用，是跑在沙盒里的，权限受系统管，装了什么、能访问什么都可以在设置里查和关。这正好跟第一节说的“传统 exe 权限大得没边”相反，能从商店装就从商店装。另外微软在国内有加速，下载也快。
  • winget：Windows 自带的包管理器。打开终端，winget search 名字 搜，winget install 名字 装，winget upgrade --all 一键更新所有软件。它会优先从微软商店或者软件官方的源下载，没有捆绑。
  • 官网：商店和 winget 都没有的，去官网下，认准域名，别点搜索结果里的广告位。

另外，也别去下载“破解版”“绿色版”“优化版”。这类安装包是恶意软件的重灾区，你省下的那点钱，跟一台被装了后门的电脑比起来不值。

八、顺便说说 Linux

如果你只是想用一下 Linux 的命令行和工具，现在其实不一定要装双系统了：Windows 自带的 WSL（适用于 Linux 的 Windows 子系统）就能跑一个完整的 Linux 发行版，终端里 wsl --install 一句话搞定，和 Windows 之间共用文件也方便。要不要真的分一块硬盘装双系统，看你自己的需要。

至于真正用 Linux 当主力的人，水平估计都比我高，大概也不屑于看我这种文章，所以就简单说两句：

  • 软件走发行版官方仓库，镜像换成清华或者中科大的，速度好很多。
  • 安装时勾上磁盘加密（LUKS），笔记本尤其要勾。
  • 输入法用 fcitx5 加 Rime，和 Windows、Mac、安卓那套配置可以通用。
  • 第一篇的 Firefox 配置照搬，注意有些发行版打包的 Firefox 用的是系统证书库，处理根证书的时候留意一下。

就先这样

Windows 这一篇的核心其实就一句话：这个系统上，你装的每一个程序都能看到你电脑里的几乎所有东西，所以装什么要比在手机上谨慎得多。剩下的重装、关遥测、加密硬盘、换输入法，都是在这句话之后的事。

设备这条线到这里就写完了。接下来换一条线，讲账号本身：下一篇聊电子邮件。

文中有写错或者过时的地方，欢迎从首页的联系方式告诉我。