BitLocker、FileVault、LUKS 类全盘加密把设备丢失与数据泄露隔开一层，但它的边界在运行状态、文件残留与恢复密钥三处。本文讲清机制边界，并给出恢复密钥保管与旧设备退役的正确顺序。