我被一个我觉得不难解决的问题难住了，但我找不到一个好的解决方案。
我接到了一个用户的 Windows 10 VM。出于某种原因，原来的域用户帐户不久前从系统中删除，然后重新添加，我认为是出于这个原因，它现在有一个不同的 SID。
旧 SID 的 $Recycle.bin 中仍有文件，我被要求将它们全部恢复到其原始位置。那些文件都还在那里，我可以用 WinDirStat 查看它们。
我的第一反应是，恢复仍在 $Recycle.Bin 中的文件应该不会太难，对吧？我的意思是，它们都还在驱动器上。但该死，我已经研究了几个小时如何做，却找不到办法。幸运的是，它是一台虚拟机，所以我做的第一件事就是拍一张快照，这样当我摆弄文件系统时就不会出错了。
使用我的域用户帐户在资源管理器中打开文件夹当然没有帮助，因为文件与不同的用户绑定。我接下来尝试做的就是将回收站子文件夹（其中包含旧 SID 作为文件夹名称）重命名为我的 SID。然后，在我登录我的用户帐户后，Windows 现在告诉我我的回收站已损坏并询问我是否要删除它。所以，我恢复了我的快照。
有大量工具可以从 NTFS 中恢复已删除的文件，但似乎没有工具可以从回收站中恢复仍然存在的文件？
答案1
我做了一些测试，似乎从计算机管理中删除帐户并不会从C:\Users注册表中删除用户。
我的测试表明这是有效的：
- 跑动
regedit并定位到钥匙HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList - 检查格式的所有子项
S-1-5-21-495099530-557473056-3318008218-1001，直到根据 item 的值找到您的个人资料ProfileImagePath - 知道已删除用户帐户的 SID 后，请以管理员身份安装并运行另一个文件管理器（不是 Explorer）（我使用阿尔塔普蝾螈）
- 定位到文件夹
C:\$Recycle.Bin - 在子文件夹中找到包含用户 SID 的文件夹
- 在文件夹中，您可以右键单击任何文件（或选择任意数量的文件）并选择“恢复”
文件将被恢复至其原始文件夹。
如果此方法失败，您可以直接在回收站文件夹中找到您在上面找到的文件，尽管这些文件的名称很奇怪，例如$RZHIN4H.txt，但无法恢复其原始名称。以下内容将帮助您找出原始文件名。
当文件被删除时，回收站中会创建两个文件。第一个文件以值开头$R，后跟一个随机字符串，包含回收文件的实际内容。
第二个文件以$I与文件相同的字符串开头和结尾$R，并包含该文件的元数据。该$I文件包含原始文件名、路径、文件大小以及文件被删除的时间。回收站$I在显示其文件时使用该文件。