如何通过PowerShell准确判断Windows用户是否已启用数字PIN码

我完全懂你之前踩的坑——查了机器级的注册表和CIM路径，结果9台电脑返回值全一样，根本区分不开谁开了PIN谁没开。问题出在你之前看的都是机器全局的设置，而PIN是用户级别的配置，得从每个用户的个人注册表 hive 里找才行。

给你两个亲测靠谱的方法，能精准判断：

方法一：快速检查当前登录用户（无需管理员权限） #

如果只需要确认当前操作的用户是否启用了PIN，直接跑这段脚本就行：

$pinStatus = Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\UserTile" -Name "HasPIN" -ErrorAction SilentlyContinue

if ($pinStatus.HasPIN -eq 1) {
    Write-Host "当前用户已启用PIN码" -ForegroundColor Green
} else {
    Write-Host "当前用户未启用PIN码" -ForegroundColor Red
}

原理很简单：用户的PIN启用状态存在当前用户注册表（HKCU）的UserTile键下，HasPIN值为1代表已启用，不存在或为0则代表未启用。

方法二：批量检查所有本地用户（需管理员权限） #

要是需要批量排查机器上所有用户的PIN状态，就得逐个加载用户的NTUSER.DAT注册表 hive 来读取，步骤如下：

1. 获取所有本地用户的SID和用户名
2. 加载用户的注册表 hive
3. 检查HasPIN值
4. 用完卸载 hive 避免占用资源

脚本示例：

# 获取所有非系统本地用户信息
$localUsers = Get-CimInstance -ClassName Win32_UserProfile | Where-Object { $_.Special -eq $false }

foreach ($user in $localUsers) {
    $sid = $user.SID
    $userPath = $user.LocalPath
    $userName = (New-Object System.Security.Principal.SecurityIdentifier($sid)).Translate([System.Security.Principal.NTAccount]).Value

    try {
        # 若用户未登录，加载其注册表hive；已登录则直接读取HKCU对应路径
        if (-not $user.Loaded) {
            reg load "HKU\$sid" "$userPath\NTUSER.DAT" | Out-Null
            $regPath = "HKU:\$sid\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\UserTile"
        } else {
            $regPath = "HKCU:\Software\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\UserTile"
        }

        # 检查PIN状态
        $pinEnabled = Get-ItemProperty -Path $regPath -Name "HasPIN" -ErrorAction SilentlyContinue

        if ($pinEnabled.HasPIN -eq 1) {
            Write-Host "用户 $userName (SID: $sid)：已启用PIN码" -ForegroundColor Green
        } else {
            Write-Host "用户 $userName (SID: $sid)：未启用PIN码" -ForegroundColor Red
        }
    } catch {
        Write-Host "用户 $userName (SID: $sid)：无法读取注册表（可能用户文件夹已删除或无权限）" -ForegroundColor Yellow
    } finally {
        # 卸载未登录用户的注册表hive（必须执行，否则影响用户后续登录）
        if (-not $user.Loaded) {
            reg unload "HKU\$sid" | Out-Null
        }
    }
}

注意：这个方法必须以管理员身份运行PowerShell，避免权限不足的问题。

最后补充下你之前的误区：HKEY_LOCAL_MACHINE下的路径是机器全局的登录UI设置，不区分单个用户；root/CIMv2/Security/MicrosoftVolumeEncryption是BitLocker相关的配置，和PIN启用状态完全无关，所以自然得不到准确结果啦。

备注：内容来源于stack exchange，提问作者Jimmy Westberg