Autologon 使用指南：Windows 自动登录的正确做法与安全边界

Windows 每次开机都要敲密码，台式机固定放在自己房间里尤其显得多余。想让系统跳过这一步，网上流传最广的做法是直接改注册表：在 Winlogon 键下加一个 AutoAdminLogon=1，再补一个 DefaultPassword。这个做法能用，代价是密码以明文形式留在注册表里。微软自己的支持文档对这点写得很直白：

当启用自动登录时，密码以纯文本形式存储在注册表中。存储此值的特定注册表项可由经过身份验证的用户组远程读取。

Autologon 做的是同一件事，但换了一种存法——不把密码写成明文注册表值，而是写成 LSA secret。这篇把它怎么拿、怎么用、到底动了注册表哪些位置，以及它的安全边界一次说清楚。

一、它是什么、谁做的、哪个版本

有一组名字很容易被搞混，先分开记：工具叫 Autologon（下载包文件名是 AutoLogon.zip，程序内的提示文案写作 AutoLogon），而注册表里那个开关值叫 AutoAdminLogon。搜资料时两种写法都会出现，指的不是一回事。

二、官方获取：三条路，都指向微软自己的域名

1. 文档页（推荐从这里进）：https://learn.microsoft.com/en-us/sysinternals/downloads/autologon

2. 压缩包直链：https://download.sysinternals.com/files/AutoLogon.zip（官方页面标注 495 KB，实际字节数 507,115）

3. Sysinternals Live（免下载直接跑）：https://live.sysinternals.com/Autologon.exe

Sysinternals 的工具长期是各种「软件下载站」和网盘镜像的重点搬运对象，而这些镜像没有任何校验环节。既然官方直链一直可用，就没有理由经过第三方——尤其是这类要接触登录凭据的工具。

三、包里面有什么：4 个文件，没有安装程序

解压 AutoLogon.zip 得到：

没有 setup.exe，没有 .msi，没有安装向导。 流程就是「解压 → 双击运行 → 用完」，不写开始菜单、不建桌面快捷方式、不注册卸载项。想卸载就是删掉这几个文件，再把自动登录关掉。

程序清单里写死了权限要求：

<requestedExecutionLevel level="requireAdministrator" uiAccess="false" />

也就是说双击必定弹出 UAC 提示框，必须点「是」才能继续，没有「以管理员身份运行」这个可选步骤。这一条不是建议，是硬性的：它要写的 HKLM 键普通权限根本打不开，非提权运行只会直接报 Could not open Winlogon registry key。

四、三个 exe 怎么选：看架构，别猜

想确认自己该用哪个，最稳的办法是看系统架构。三个文件的 PE 头 machine 字段实测如下：

判断原则很简单：现在的台式机和笔记本基本都是 AMD64，用 Autologon64.exe；老机器或 32 位系统用 Autologon.exe；ARM 设备（骁龙本、部分平板）用 Autologon64a.exe。拿不准就运行 Autologon64.exe，架构不匹配时 Windows 会直接拒绝运行，不会有副作用。

想自己验证文件完整性：

# Windows PowerShell
Get-FileHash .\Autologon64.exe -Algorithm SHA256

三个可执行文件都带数字签名，运行前可以在「右键 → 属性 → 数字签名」里核对签发者。

五、五分钟开启自动登录

第 1 步：先确认账户有密码

Autologon 不支持空密码账户，遇到会直接拒绝：AutoLogon does not support NULL passwords.。如果你的账户本来就没有密码，先去「设置 → 账户」设一个——顺便说，空密码账户开自动登录也没有任何意义。

第 2 步：解压并双击运行

选中对应架构的 exe 双击，UAC 弹窗点「是」。

第 3 步：首次运行接受许可协议

第一次运行会弹出 Sysinternals 许可条款，按钮是 Agree / Decline / Print（还可以把条款直接打印出来）。点 Agree 之后，这一项会记录在注册表 HKCU\Software\Sysinternals\Autologon 的 EulaAccepted 值下，往后不再弹。

如果要在批量脚本里跳过这个弹窗，加命令行开关即可，两种写法都支持：

Autologon64.exe /accepteula

第 4 步：核对界面上的三个字段

主界面就长这样，很朴素，没有多余的选项：

• Username：要自动登录的账户名，本地账户直接填用户名（如 Administrator），不要带 .\ 前缀。

• Domain：这是最容易填错的一栏。本地账户填计算机名，域账户填域的 NetBIOS 名。界面上通常已经带出当前登录账户的信息，但请自己核对一遍：填错域的话，凭据会被当成另一个账户去用，重启后一样登不进去。

• Password：账户当前的登录密码。

第 5 步：点 Enable，然后看清提示语

点完 Enable，程序会给出两句成功提示中的一句，这两句的含义差别很大：

Autologon successfully configured.

Note: The autologon password is encrypted

Autologon successfully configured.

Note: The autologon password is NOT encrypted

看到第二句（NOT encrypted）要当成配置失败来处理：它意味着这一次没能把密码写进 LSA secret，密码以明文形式留在了注册表里，风险等级直接退回「手改注册表」那一档。这时应当检查是否真的提权成功，然后重新配一遍。

第 6 步：重启验证

关掉 Autologon，正常重启。系统应当直接进桌面。进去之后可以顺手确认一下（见下一节），确认无误再放心用。

六、它到底往注册表里写了什么

Autologon 操作的是这一组位置：

关键差别在第二行。LSA secret 存放的密码不是明文，而且 HKLM\SECURITY 这个分支在普通权限的注册表编辑器里是看不到的（需要以 SYSTEM 权限运行注册表编辑器，或单独加载 hive）——这本身就构成一道门槛。顺手改注册表的做法只碰第一行，密码躺在 DefaultPassword 里，谁打开 regedit 都能直接读到。

想确认自己的机器属于哪一种，检查这两个地方就行：Winlogon 键下的 DefaultPassword 是不是非空，以及 SECURITY\Policy\Secrets\DefaultPassword 是否存在。

七、安全边界：必须先想清楚，再决定要不要用

Autologon 的官方文档在同一页里既给了用法，也给了警告，对这一点是这样写的：

Although the password is encrypted in the registry as an LSA secret, a user with administrative rights can easily retrieve and decrypt it.

翻译过来：密码虽然以 LSA secret 形式加密存放在注册表里，但拥有管理员权限的用户可以轻松取出并解密它。

这句话得正确理解。Autologon 提升的是「挡随手一看」的门槛，不是「挡有心之人」的强度。它真正解决的问题是：明文密码会被人无意中看到、被截图、被备份带到别处，也会被任何能读注册表的程序顺手拿走。它不解决的问题是：任何能提权到自己电脑上的攻击者，依然拿得到这个密码。

所以判断标准只有一条：这台机器是不是「物理上只属于你、且不开机就等于没在用」的设备。

还有一条容易被忽略的风险：改密码之后自动登录会失效，但失效前的那些天，旧密码一直躺在注册表里。如果是因为怀疑密码泄露而改密的，改完必须顺手把自动登录关掉，否则旧密码没意义地继续留在那里。

八、日常维护：改密码、临时跳过、彻底关闭

改密码之后必须重新配置

自动登录用的是配置那一刻的密码，之后你在系统里改了密码，它并不知道。结果是重启后登不进去，看着像「自动登录失效了」。处理办法：重新打开 Autologon，在 Password 栏填新密码，再点一次 Enable。

临时跳过自动登录：按住 Shift

这是一个几乎没人知道的官方特性：官方文档的原话是「如果在系统执行自动登录之前按住 Shift 键，该次登录的自动登录会被禁用」。也就是说，开机过程中按住 Shift，这一次就会走正常的登录界面，可以换成别的账户或手动输密码，而不用去改动任何配置。

需要偶尔给别人用一下你的电脑、又不想动配置，就用这招。

彻底关闭

软件里点 Disable，会提示 AutoLogon is disabled.，重启后恢复手动输密码。

如果想确认清干净了，按第六节那张表逐项过一遍：

1. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 下：AutoAdminLogon 置为 0；删除 DefaultPassword；如果不打算再用，把 DefaultUserName、DefaultDomainName、ForceAutoLogon 一并删掉。

2. 确认 HKLM\SECURITY\Policy\Secrets\DefaultPassword 下的 CurrVal / OldVal 已经清空。

3. 重启，确认出现登录界面。

这一步的价值不只是「关掉功能」——只要 DefaultPassword 还在，密码就还在，功能关了等于没关。

九、命令行用法与无人值守

Autologon 支持把三个参数直接写在命令行里，用法为：

autologon <username> <domain> <password>

例如本地账户、计算机名为 DESKTOP-7K2M：

Autologon64.exe Administrator DESKTOP-7K2M "你的密码" /accepteula

这个形态适合写进装机脚本或无人值守流程——系统装完后自动把自动登录配好，随后进入批量任务，任务跑完再调 Disable 关掉。微软在 Windows 评估（Windows Assessment）的官方文档里给出的也是同一套思路：评估需要多次重启，就让机器自动登录，评估结束再恢复常规登录。

有一个必须注意的前提：自动登录配置在「Exchange ActiveSync 密码限制」生效的情况下会被 Windows 直接忽略。这不是 Autologon 的问题，是 Windows 的行为，官方文档对此有明确说明。如果命令行配好了、注册表也写进去了，重启却依然停在登录界面，先往这个方向查。

十、排错手册

十一、常见问题

和 Windows 自带的自动登录方式有什么区别？

系统本身也支持自动登录，但那些入口（手改注册表、以及一些图形界面里的开关）写的都是 Winlogon 键下的明文 DefaultPassword。Autologon 的价值就在于它会把密码写成 LSA secret，避开明文字段。判断自己属于哪一种，回到第六节那两个位置看一眼即可。

Windows Hello、PIN 码会冲突吗？

自动登录走的是 Winlogon 的凭据机制，和 PIN / 生物识别不是同一层。实际使用中自动登录会先把会话建立起来，所以设了 PIN 通常也不影响开机直进桌面。域环境里如果有强制的登录策略，先咨询管理员。

企业域环境能用吗？

技术上能，但不要自己决定。域策略、组策略和 EAS 限制都可能覆盖本地设置，而且这类操作在企业环境里通常有明确的管理规定。

会不会影响系统更新、休眠唤醒后的行为？

不影响更新流程。休眠恢复（唤醒）不是启动，Autologon 只作用在系统启动时的登录环节。

能配多个账户吗？

不能。Autologon 配置的是「系统启动时默认自动登录哪一个账户」，一次只有一个。

密码存在注册表里，会不会被别的程序读走？

明文 DefaultPassword 会被任何能读该键的程序读到；LSA secret 需要提权才能取出。所以结论还是回到第七节——要么这台机器只有你能物理接触并提权，要么就别开。

十二、写在最后

自动登录省下的是每次开机那几秒，赌上的是整机内容。Autologon 做的是一件很具体的事：把密码从明文注册表值换成 LSA secret，让「顺手一看」这条路走不通。它是一件好工具，但它不改变「能提权的人拿得到密码」这个事实。

所以判断标准不是「这个工具安不安全」，而是「这台机器丢了、被人碰到、或者被人远程登进来，我能不能接受」。家用固定台式机、客厅播放机、测试机，答案通常是能，放心用；随身笔记本、办公机、存敏感数据的设备，答案是不能，那就别用——用 Windows Hello 加一个短 PIN 更划算。

官方地址速查

文档页          https://learn.microsoft.com/en-us/sysinternals/downloads/autologon
下载直链        https://download.sysinternals.com/files/AutoLogon.zip
免下载直接运行   https://live.sysinternals.com/Autologon.exe
Sysinternals 首页  https://learn.microsoft.com/en-us/sysinternals/