企业官网建设流程全解析

Windows 7已经停止官方支持好几年了，但最近我在帮一家单位的老设备做系统交接检查时发现，居然还有不少机器的账户管理停留在“控制面板—用户账户”那套图形界面操作上。倒不是说图形界面不行，而是当你需要快速摸清一台机器上有多少个用户、哪些用户有管理员权限、某个账号是什么时候创建的时候，图形界面会让人点得非常崩溃。

在这种场景下，命令行才是真正高效的工具。当时我就用了几条命令，把一台老机器上的所有用户、所属组、启停状态全列了出来，整个检查花不到两分钟。今天这篇就把 Windows 7 系统里创建用户、查看用户列表的命令行玩法完整拆一遍，包括命令语法、参数含义、常见报错以及我实际踩过的坑，给还在维护老机器、做测试环境或者想系统了解一下命令行账户管理的朋友做个参考。

1. 为什么还在折腾Windows 7的用户管理

1.1 哪些场景下你仍然绕不开它

很多人觉得 Windows 7 已经退出历史舞台了，但在工控机、老款收银机、特定测试虚拟机以及一些只跑单机软件的办公电脑上，Win7 仍然是真实存在的运行环境。我最近处理的这批设备就是某单位的业务终端，系统不能随便升级，软件兼容性死死地把系统版本钉在了 Win7 上。

在这些机器上做用户管理，最现实的需求通常有三类：一是给新同事创建登录账号，二是排查机器上是否存在未知或多余账户，三是审计某个账号的权限级别和启用状态。前两类需求用图形界面一个个点开看效率极低，尤其是机器多了以后，鼠标点击根本跟不上。

命令行方式还有一个隐形优势：操作过程可以留下记录。在图形界面里你创建了一个用户，事后很难追溯当时设置了什么参数；而在命令行里，命令本身、执行时间、执行结果都可以输出到日志文件里，这对交接和审计非常友好。

1.2 命令行管理用户比图形界面强在哪

图形界面的“用户账户”控制面板能做的事情其实很有限：创建用户、改密码、改账户类型、删除用户。稍微深入一点的需求，比如同时指定密码永不过期、设置账户启停状态、查看用户全名和注释信息，图形界面就得分好几个窗口来回切换。

而命令行工具 net user 和 net localgroup 可以在一行命令里完成账户创建、密码策略设置、加入管理员组等操作，速度快的同事一分钟能处理完一个账户。更重要的是，命令行对批量场景天然友好，配合 for 循环或者简单的批处理脚本，一次就能处理几十个账号。

对于只想查用户列表的操作，命令行更是一句话的事情。一行 net user 敲下去，所有本地用户账户名称立刻列出，比打开“管理工具—计算机管理—本地用户和组”一层层点进去快得多。这也是我坚持在 Win7 上用命令行做账户管理的最直接理由。

2. 动手前必须完成的权限与环境准备

2.1 管理员权限的正确打开方式

在 Windows 7 里使用 net user 创建用户，最低要求是具备管理员权限。别小看这一点，我在实际帮助同事排查问题时发现，绝大多数“命令执行失败”的根源根本不是命令写错，而是命令提示符没有以管理员身份运行。

Win7 下打开管理员命令行的方法有好几种，我比较习惯的是点击“开始”菜单，在搜索框里输入 cmd，然后在搜索结果中的 cmd.exe 上点击右键，选择“以管理员身份运行”。如果嫌鼠标操作麻烦，也可以先按住 Ctrl+Shift 再回车，直接以管理员权限启动。注意：如果当前登录的账号本身不是管理员，系统会弹出 UAC 用户账户控制提示框，这时需要输入管理员账号的密码才能继续。

有一种情况值得特别说明：有些机器在部署时把默认的 Administrator 账户禁用了，只保留一个普通管理员账号。此时你也能以管理员身份运行命令行，但所有操作都是以当前管理员账号身份执行的，创建出的新用户默认归属于 Users 组，除非你显式将其加入 Administrators 组。

2.2 确认系统版本与当前用户状态

开始执行命令之前，我建议先花十秒钟了解这台机器的基本情况。Win7 有多个版本，不同版本在某些命令的表现上略有差异，比如家庭普通版和旗舰版在部分管理功能上会有功能裁剪，不过 net user 这类基础命令在所有版本里都是可用的。

最简单的确认方法是运行 winver，会弹出一个“关于 Windows”窗口显示详细版本号。另外用 whoami 可以查看当前登录的用户名和所在机器，用 echo %USERNAME% 也能看到当前用户名。建议执行 whoami /all 看看当前用户是否具备管理员组成员身份，如果输出里有“管理员”相关字样，说明你已经有足够的权限基础。

这里再补充一个小经验：查看系统里的所有账户前，最好先运行 net user 看一下输出是否正常。如果这条命令本身都报错提示“系统错误 5 发生”，那基本可以断定当前命令行窗口没有管理员权限，需要先解决权限问题再继续后续操作。

2.3 命令行窗口选择：CMD还是PowerShell

Windows 7 自带的 Windows PowerShell 版本通常比较老，功能上远不如现代系统里的 PowerShell 完善，再加上很多运维同事对老版本 PowerShell 的语法不熟，所以在 Win7 上做用户管理，我强烈建议直接用传统的 CMD 命令提示符窗口。

net 系列命令在 CMD 里运行最稳定，也不存在执行策略限制。PowerShell 里虽然也能调用 net user，但有时会因为引号处理、管道编码等问题出现奇奇怪怪的输出，反而增加排查成本。

如果确实需要在 PowerShell 里做批量处理，可以用 cmd /c 方式调用外部命令，或者直接使用 Get-WmiObject Win32_UserAccount 这类 WMI 查询来获取用户信息。不过从稳定性和兼容性角度出发，日常创建、查看、删除用户我还是推荐先学会 CMD 里的标准命令，这也是后续所有脚本的基础。

3. 创建用户：net user 命令的完整拆解

3.1 net user 命令的标准语法与参数对照

net user 是 Windows 自带的账户管理命令，语法结构看起来简单，但参数含义非常丰富。基础格式是：

net user [用户名 [密码 | *] [选项]] [/domain]

不带任何参数直接运行 net user，会列出当前机器上的所有用户账户；只带用户名运行 net user 用户名，则显示该账户的详细信息，包括隶属的组、账户启用状态、密码到期时间等。

创建新用户的标准命令是：

net user 用户名 密码 /add

例如我要创建一个用户名为 test01、密码为 Passw0rd123 的普通用户，命令就是：

net user test01 Passw0rd123 /add

执行后如果看到“命令成功完成”的提示，说明账户已经创建好了。这时可以继续用 net user test01 查看这个新账户的详细信息，确认它默认属于 Users 组。

由于前缀只有 4 个字符，这里提供一张包含常用参数的表，方便快速对照：

3.2 实操示例：创建普通用户与管理员用户

日常用得最多的就两种：普通用户和管理员用户。普通用户只能做常规操作，不能安装软件、不能改系统设置；管理员用户可以完全控制系统。

创建普通用户，我通常会在一条命令里把密码、全名、备注一并设置好，避免后期再补：

net user zhangsan Abc@123456 /add /fullname:"张三" /comment:"业务终端账号-20250601"

这里密码设计为 Abc@123456，是为了满足 Win7 默认的密码复杂性策略（必须包含大写字母、小写字母、数字和特殊字符中的至少三类）。如果你不确定当前机器的密码策略，可以先用 secpol.msc 打开本地安全策略查看“密码策略—密码必须符合复杂性要求”是否开启。开启状态下，简单的纯数字密码会被直接拒绝并提示错误。

创建管理员用户则要额外多一步，把新用户加入 Administrators 组：

net localgroup administrators zhangsan /add

此时再运行 net user zhangsan，能看到“本地组成员”一栏里同时出现了 Users 和 Administrators。管理员组的权限非常大，建议只在确有必要时使用，并且创建后一定要设置强密码。

3.3 密码策略与常见参数细节

Win7 默认的密码策略对命令行创建用户的影响很大。不少人第一次用 net user 创建账户时，密码明明打对了，系统却提示“密码不满足密码策略的要求”，原因往往是密码没有同时包含多种字符类型。

遇到这种情况有两条路：一是把密码改成符合策略的形式，比如 Test@1234；二是调整本地安全策略。如果这台机器处于独立环境、没有域控制，可以用 secpol.msc 打开“本地安全策略”，在“账户策略—密码策略”里把“密码必须符合复杂性要求”改为已禁用，然后就能用简单密码创建账户。

不过我建议不到万不得已不要禁用复杂性要求。尤其是在批量创建账户、后续需要交给别人管理的时候，弱密码账户就是潜在风险。我在实操中一般只对测试机禁用密码策略，正式业务终端一律使用强密码。

创建账户时还有几个容易忽视的参数：/expires:never 可以确保账户不会因为到期而突然无法登录；/passwordchg:no 可以禁止用户在登录后自行修改密码，适合公共机场景；/active:no 则可以在账户建好后先保持禁用状态，等需要时再启用。

3.4 为什么我建议用复合参数一次到位

我见过很多同事创建账户时习惯分两步：先 net user 用户名 密码 /add 建一个裸账户，再回头修改全名、设置密码永不过期、加入用户组。这个流程在小规模操作时没问题，但一旦要创建的账户超过几个，分步操作既慢又容易漏参数。

我的习惯是把所有需要的参数都写进同一条 net user 命令里，一次执行完毕。举个例子，要创建带全名、带备注、密码永不过期的普通用户：

net user lisi Xyz@7890 /add /fullname:"李四" /comment:"外包项目账号" /expires:never

这种做法的好处是命令可以被记录在部署脚本里，下次在新的机器上执行同样的命令，就能得到完全一致的账户配置，避免人为漏参数造成的配置漂移。

如果创建时没有指定 /expires:never，账户默认会继承系统的密码策略，密码可能在一段时间后过期，到时候用户会突然面临登录失败。运维排查时，这种问题往往最隐蔽，因为你看到的账户状态是正常的，但密码策略已经让它在某一天失效了。

4. 查看用户列表：几条命令各有取舍

4.1 net user：最基础的用户列表查看方式

查看用户列表最简单的方式就是直接运行不带参数的 net user。它会输出一个“用户帐户”标题，下面按字母顺序列出当前机器上的所有本地用户账户名称。

Win7 系统上你通常能看到 Administrator、Guest、还有你自己创建过的账户。某些名字后面带 $ 符号的条目属于系统隐藏账户或服务账户，比如类似 IUSR 这样的匿名访问账户，这类账户一般不用理会。

net user 只列出账户名称，不显示账户是否启用、属于哪个组、全名是什么。如果只是想快速确认“这台机器上有哪几个账户”，它的效率最高；但如果你需要更详细的属性，就要配合其他命令来查。

查看单个用户的详细信息可以用 net user 用户名，输出内容会包括用户名、全名、注释、账户启用状态、密码到期时间、本地组成员等信息。我经常用这条命令来快速核实某个账户是否真的有管理员权限。

4.2 借助 wmic 获取更丰富的用户属性

需要一次性获取所有用户的完整属性时，net user 就显得不够用了。这种情况我一般用 wmic，它在 Win7 里是预装的，可以查询到非常详细的用户账户信息。

查看所有本地用户的名称、全名、是否禁用、是否锁定，可以用：

wmic useraccount get name,fullname,disabled,lockout

输出会是表格形式，一行一个账户。disabled 列的值如果为 TRUE，表示该账户当前处于禁用状态；lockout 列显示账户是否被锁定（通常因多次输错密码触发）。

如果想看账户的 SID（安全标识符），可以加 sid 字段：

wmic useraccount get name,sid

SID 在排查权限问题时非常有用。比如系统里存在同名账户的历史记录，或者你怀疑某个软件创建了隐藏账户，通过 SID 可以快速分辨不同账户。

wmic 输出内容较多时，配合 findstr 过滤会更清晰，例如只看包含 Guest 的账户：

wmic useraccount get name,disabled | findstr /i guest

4.3 用 net localgroup 从组成员角度反查用户

有时候用户的视角不是“这台机器有哪些账户”，而是“管理员组里到底有哪些成员”，这时候 net user 就不太合适了，需要用 net localgroup。

查看本机所有用户组，直接运行：

net localgroup

输出会列出管理员、Backup Operators、Guests、Power Users、Users 等所有本地组。要查看某个组中的成员，命令是：

net localgroup administrators

这会列出管理员组内的所有成员，包括机器名\用户名这样的格式。这也是我排查“谁的账户有管理权限”时最常用的命令之一。

从安全审计的角度，建议管理员组的成员名单定期检查，看看有没有不应该存在的账户。我在那次设备交接检查中，就曾发现某台机器管理员组里多了一个不明账户，后来一查是半年前某供应商调试时创建的，一直没有清理。

4.4 命令输出看不懂？关键字段逐一解读

net user 用户名 命令输出的信息字段比较多，大部分用户会忽略，所以这里把几个核心字段解释一下。

账户启用 显示 Yes 表示账户可正常登录，No 表示该账户已被禁用；密码到期 显示日期则表示密码会在该日期失效，显示“从不”代表未设置过期时间；本地组成员 列出了该账户所在的所有本地用户组，通常第一行是 Users，如果有 Administrators 则说明该账户是管理员。

对于 wmic 输出，name 是账户名，fullname 是显示全名，disabled 和 lockout 都是布尔值。很多人会把 disabled 和 lockout 搞混：disabled 是管理员主动禁用的状态，账户不能登录；lockout 是系统因为多次错误密码自动锁定的临时状态，通常过一段时间会自动解除。

这些字段在排查登录问题时特别管用。有一次同事报某台机器登录不上，我远程用 wmic 查询，发现账户 disabled 为 TRUE，定位到是管理员之前维护时误操作禁用了该账户，重新启用后问题立刻解决。

5. 实操中容易踩的坑与排查思路

5.1 “拒绝访问”不等于你没权限

运行 net user /add 或者 net localgroup 时报“拒绝访问”，大多数情况下不是命令语法问题，而是当前命令行没有管理员权限。新版 Windows 上这个提示也很常见，但 Win7 相对更容易遇到，因为默认的管理员账户通常是禁用的，当前登录的是一个普通账户。

正确的排查顺序是：先运行 whoami /all 确认当前用户所属组，再检查 cmd 窗口是否以管理员身份启动。如果是通过开始菜单搜索后直接回车的，默认是非管理员模式，可以直接关闭窗口后用右键重新以管理员身份运行。

试过以上操作仍提示拒绝访问时，就要检查当前账户是不是真的在 Administrators 组里。可以用其他管理员账户登录后，把当前账户加入管理员组，或者启用内置 Administrator 账户来执行操作。启用内置管理员账户的命令是 net user administrator /active:yes。

5.2 用户创建成功却无法登录的常见原因

创建用户后无法登录的现象非常常见，原因通常集中在几个方面。第一是账户处于禁用状态，可以用 net user 用户名 查看“账户启用”字段是否为 Yes；第二是密码不符合策略要求，虽然创建时已经成功，但登录时密码输入不一致导致认证失败；第三是账户被设置了登录时间限制，这种配置多见于域环境，不过本地账户也可以配置。

Win7 默认情况下的本地账户一般没有登录时间限制，所以更多是前两类问题。我处理过一个案例：某同事用 net user 创建账户时密码带了特殊字符 $，但他在图形登录界面输入时把输入法切成了全角字符，密码一直验证失败，后来把输入法切回半角才解决。这类问题不算系统故障，但确实会浪费不少时间。

排除此类问题时，建议登录前用 net user 用户名 密码 这个命令，在命令行里先验证密码是否正确。不过要提醒一下，命令的成功执行与图形界面登录的验证机制略有差异，这种方式只能辅助判断，不能百分之百复现图形登录的流程。

5.3 密码复杂性策略的强制约束

在创建用户时最容易碰到的报错就是“密码不满足密码策略的要求”。Win7 出厂时默认就开启了密码复杂性要求，密码必须同时满足大写、小写、数字、特殊字符中的至少三类，且长度不少于 6 个字符。

碰到这个报错时，不需要急着改策略，优先把密码改成合规的格式，例如 Hello@123 这种同时包含大小写、数字和特殊字符的密码。只有在批量创建测试环境账户、密码不要求高强度时，再考虑用 secpol.msc 调整密码策略。

有一点需要特别注意：修改密码策略只会影响之后创建的密码，对已经存在的旧密码不会产生追溯作用。这意味着如果你用弱密码创建了一些账户，后来再开启复杂性策略，那些旧的弱密码账户依然存在，仍然是一个潜在风险点。所以我一直坚持创建时就用强密码，而不是事后补。

5.4 查看用户列表时中文乱码的处理

国内很多 Win7 机器上，用 net user 输出用户列表时可能会出现中文乱码，尤其是带有中文全名或注释信息的账户。这个问题源于 CMD 窗口默认使用的代码页与系统字符编码不一致。

我通常用 chcp 命令查看当前代码页，可能显示是 936（简体中文）或者 437（英文/美式）。当输出乱码时，先运行：

chcp 936

把代码页切换为简体中文。切换后重试 net user 或 net user 用户名，中文字段一般就能正常显示了。

如果切换后仍然乱码，可能是系统区域语言设置的问题。可以去“控制面板—时钟、语言和区域—区域和语言—管理—更改系统区域设置”，把系统区域设置为“中文（简体，中国）”。这种改动通常需要重启系统才会生效，所以在生产环境操作前务必确认重启窗口。

6. 从单条命令到批量管理：进阶与脚本化思路

6.1 用 for 循环批量创建用户

接触的设备多了以后，单条命令创建用户的效率依然不够，批量创建就成了刚需。Win7 下的 CMD 支持 for 循环，可以结合 net user 批量处理相同规律的用户名。

例如要创建 user01 到 user10 共 10 个普通用户，密码统一为 Hello@123，可以用：

for /L %i in (1,1,10) do net user user0%i Hello@123 /add

注意：在批处理脚本文件里，循环变量要写成 %%i；在命令行窗口直接输入时，则写 %i。这个区别经常让人踩坑。另外，如果用户名超过两位数，建议用 user%i 而不是 user0%i，比如循环从 1 到 20 时，user01 到 user09 和 user010 到 user020 的命名规则会不对应，需要先判断位数。

批量创建后，可以用 net user 再检查一遍列表，确认所有账户都生成成功。如果中途有账户创建失败，for 循环会继续执行下一个，并不会停下来，所以最后一定要核对。

6.2 把用户列表导出到文件

排查或审计时，用户名单通常需要保存下来。把命令输出重定向到文本文件是最快的做法：

net user > C:\users_list.txt

导出后用记事本打开这个文件，就能直观看到这台机器上的所有用户账户。如果还需要详细信息，可以把每个用户的 net user 用户名 输出都追加到同一个文件里，例如：

for /F "skip=4 tokens=1" %i in ('net user') do net user %i >> C:\user_details.txt

这里用 for /f 遍历 net user 输出的每一行，取第一列的用户名，然后逐个查询详细信息并追加写入文件。命令里的 skip=4 是用来跳过 net user 输出前几行的标题和分隔线，具体跳过行数可以先用 net user 查看输出格式再调整。

6.3 用户清理与安全注意点

创建用户的能力越强，越要重视清理工作。之前提到的那次系统检查中，我就删掉了好几个项目结束后遗留的临时账户。删除用户的命令很简单：

net user 用户名 /delete

但删除前务必确认：这个账户是否还有人在用，是否有文件的所有权归属于该账户。为了保险起见，建议先用 wmic useraccount get name,fullname,disabled,lockout 之类的命令把所有账户列出来，和业务负责人确认清楚再删。

另外，Win7 的 Guest 账户默认是禁用的，建议保持禁用状态，不要为了一时方便随意开启。每个机器上长期激活的账户越少，潜在风险面就越小。我在检查中见过不少机器 Guest 被手动开启，虽然不一定发生问题，但这种风险完全没必要承担。

平时维护老机器时，我还会额外留意管理员组成员列表，确保没有多余账户在管理员组里。如果有应用需要使用管理员权限，尽量用指定账户运行，而不是把所有账户都塞进管理员组。

从单条 net user 命令到 for 循环批量处理，再到 wmic 属性查询，命令行管理用户的套路并不复杂，核心就是多练、多记录、多对照输出结果排查。我的体会是，这类基础命令在真正的故障场景里往往比图形界面更可靠，也更容易排查问题根源。下次再有人问你“这台机器上到底有哪些用户”，直接用命令行回应，会比翻层层菜单高效得多。