「备份文件加密密钥」是我惹的

先小小纠正一下：这个通知不是「叫你加密文件」，而是「已经有文件被加密了，请备份密钥」。Windows 的 EFS 只有在第一次有文件被加密时，才会给当前账户生成一张加密证书，然后提示备份。

证书主题     : CN=<用户名>
生成时间     : 2026/10/11 22:16:34
CurrentKeys  : NumBackupAttempts = 3   ← 系统已经提示过 3 次

所以「以前没有」的原因是：10-11 晚上 22:16 之前，这台机器上从没出现过 EFS 加密。是谁加密的、加密了哪个文件，还没查清——那段时间的日志里没有直接线索。正在扫所有盘上带「加密」属性的文件。

查清楚了，而且得先认个错：这个通知是我自己的操作引起的。

1. 10-09 22:38我用 PowerShell 工具第一次启动 Krita，它在 AppData 里新建的文件被打上了「加密」标记
2. 10-11 22:16:32排查 Krita 资源时，我复制了其中一个文件（18 秒后就删了）
3. 10-11 22:16:34系统生成了加密证书——前后只差 2 秒
4. 之后每次开机托盘提示备份密钥

原理：复制带加密标记的文件时，Windows 会把副本真的加密。加密要用账户的密钥，之前从来没有，所以系统当场生成了一个。

复现实验：把带标记的 krita.log 复制一份，副本马上变成真正的加密文件，用的正是 10-11 那张证书（实验副本已移进回收站）。

这里的「要导出的文件」不是被加密的文件，是你要保存的密钥备份文件——让你决定那个 .pfx 存在哪。别放 C 盘，重装系统时会跟着没了。

结果出来了，我要更正之前的一个结论。

作废：「AppData 里有约 270 个带加密标记的异常文件」。

依据：你运行的脚本是在沙箱外扫描的，日志写的是：

清理前带标记的项目: 0
清理后仍带标记的项目: 0

我在沙箱里扫同一个目录，结果还是 270。也就是说，这些标记只在我的沙箱里看得到，真实系统里的文件根本没有。我把沙箱里看到的当成了系统的真实状态，这一步没在沙箱外核对。

仍然成立的：通知确实是那次复制引起的——沙箱里复制出的副本是真的被加密了，所以证书是真的。dij 自己复制文件不会碰到这个问题。