一、需求背景

deepin与UOS操作系统底层已支持LUKS磁盘加密，在系统安装阶段可找到全盘加密选项。但现有方案存在显著短板：加密配置的修改、新增加密分区、外接移动存储加密全部依赖命令行操作；若用户安装系统时未开启加密，想要对已有系统盘、数据分区启用加密，没有图形化方案，只能重装系统。
对比Windows专业版BitLocker：系统部署完成后，仍可图形化开启/修改磁盘加密，同时原生支持BitLocker To Go移动U盘加密。当前deepin/UOS缺少对应的图形化能力，普通用户、终端运维人员无法便捷管理加密卷，抬高国产化替代过程中的数据安全落地门槛。

二、现存痛点详细梳理

1. 系统安装阶段仅一次性设置加密：仅在安装向导内可以选择系统盘加密。系统安装完成进入桌面环境后，无法图形化对现有系统盘追加开启加密；如需开启系统盘加密，只能重装系统，无法满足存量终端的数据加密需求。
2. 数据分区加密依赖命令行：桌面环境下，新建、修改、解锁、重新设置密码、移除本地数据分区加密，全部需要使用cryptsetup等终端命令，无图形交互界面。普通用户难以掌握，命令输入错误极易造成数据丢失。
3. 缺少原生图形化移动U盘/移动硬盘加密：无对标BitLocker To Go的图形化功能。用户加密移动存储只能手动敲命令创建LUKS容器，操作繁琐；外接加密存储插入设备时，缺少图形化密码弹窗解锁。
4. 加密卷统一管理缺失：没有图形化面板，集中查看本机所有加密卷（系统盘、本地数据分区、移动存储加密卷）的加密状态、挂载状态、密钥备份信息。密钥备份、密码修改、恢复密钥导出操作只能依靠命令。
5. 运维场景限制：批量部署存量终端时，无法在系统装好之后图形化开启加密，必须重装，大幅增加运维工作量，不利于统一落实终端数据安全规范。

三、核心功能需求

（一）桌面环境支持存量系统盘图形化加密（无需重装系统）

1. 在磁盘管理器内增加功能：系统安装完成后，图形界面支持对已安装好的现有系统分区进行加密，不需要重装操作系统。执行加密前，增加完整风险确认流程，自动提示备份全部数据。
2. 加密过程可视化：图形进度条展示加密写入过程，中断保护提示，全程不要求用户输入终端命令。
3. 开机解密弹窗保持图形化：加密完成后，开机阶段弹出图形密码输入界面，替代文本终端密码输入。

（二）本地分区加密全生命周期图形化管理

1. 新建加密卷：在磁盘管理器，选中空闲分区，右键创建LUKS加密分区，图形界面设置加密密码、备份恢复密钥。
2. 加密卷管理功能（桌面内直接操作）

• 修改加密密码：图形弹窗更换LUKS密码，无需命令；
• 添加/移除密钥插槽：图形界面管理多个解锁密钥；
• 临时解锁/挂载、卸载锁定加密分区；
• 永久移除分区加密，解密恢复普通分区；
• 导出、打印、保存恢复密钥，强提醒密钥丢失无法找回数据。
  3. 高危操作双层确认：加密、解密、删除加密卷等高危操作，增加二次确认弹窗，附带风险说明，规避误操作丢失数据。

（三）移动U盘、移动硬盘图形化加密（对标BitLocker To Go）

1. 外接存储识别：U盘/移动硬盘接入设备后，文件管理器、磁盘管理器识别移动盘，右键提供【加密此移动存储】选项。
2. 两种加密模式可选

• 全盘LUKS加密：加密整个移动存储设备；
• 文件容器加密：在U盘内生成加密容器文件，U盘剩余空间保持普通可用状态，不破坏U盘原有分区。
  3. 跨设备图形解锁：加密后的LUKS移动存储，插入任意deepin/UOS设备，自动弹出图形密码弹窗解锁；底层使用标准LUKS格式，兼容其他Linux发行版解密。
  4. 移动加密卷管理：图形界面修改U盘加密密码、备份恢复密钥、解除移动存储加密、一键锁定已挂载的移动加密盘。

（四）独立图形化加密卷管理中心

1. 统一列表展示本机全部加密卷：系统盘、本地数据分区、已接入的移动加密存储，展示加密状态、挂载状态、加密算法、密钥插槽数量。
2. 集中密钥管理：统一查看、导出所有加密卷的恢复密钥，支持密钥文件解锁、密码解锁两种解锁方式。
3. 内置帮助文档入口：页面内嵌说明，讲解加密原理、密钥备份重要性、数据风险提示。

四、技术边界与开源声明

1. 底层加密方案继续沿用成熟开源LUKS，不自研私有加密底层格式，保持开源合规。本需求仅开发图形化前端交互模块，底层全部调用现有开源cryptsetup组件，不修改底层加密算法。
2. 不要求修改现有安装向导加密功能，保留安装阶段加密选项，新增系统安装完成后桌面内加密存量系统盘的能力。
3. 加密格式保持标准通用，加密卷可在其他支持LUKS的Linux环境解锁。

五、预期价值

1. 用户价值：无需重装系统即可给现有系统盘开启加密；所有磁盘、移动U盘加密操作图形化，摆脱命令行门槛，普通用户可自主保护敏感文件。
2. 政企国产化价值：补齐对标Windows BitLocker的完整磁盘加密能力，存量终端不用重装即可开启加密，大幅降低运维成本，满足数据防泄露要求，提升deepin/UOS在政企替换场景竞争力。
3. 开源生态价值：底层密码学组件保持开源开放，仅增加易用图形界面，兼顾开源属性与产品易用性。

六、补充细节建议

1. 存量系统盘加密任务支持后台执行，可提示用户不要中断，支持异常断电后的恢复提示。
2. 加密操作前强制弹窗提示完整风险：加密存在数据损坏风险，务必提前备份数据，密钥丢失数据无法恢复。
3. 所有加密相关操作日志可记录，满足政企审计需求。