icacls是Windows内置命令行工具，用于精确控制NTFS权限，支持查看（/t、/c）、授权（/grant）、拒绝（/deny）、重置（/reset）和禁用继承（/inheritance:r/d）等操作。
如果您需要在Windows系统中通过命令行精确控制NTFS分区上文件或文件夹的访问权限，则icacls是内置且功能完备的工具。以下是使用icacls查看、修改、继承与重置NTFS权限的具体操作步骤：
一、查看当前文件或文件夹的详细权限
icacls默认可显示指定路径下每个用户或组所拥有的显式权限，包括允许（F、M、RX等）和拒绝（DENY）条目，同时标注继承状态。
1、以管理员身份打开命令提示符或PowerShell。
2、输入命令：icacls "C:\ExampleFolder"，其中路径需用英文双引号包裹，尤其含空格时。
3、若需递归查看子目录及文件权限，追加 /t 参数：icacls "C:\ExampleFolder" /t。
4、添加 /c 可忽略遍历错误（如拒绝访问的子项），避免命令中断。
二、授予指定用户完全控制权限
通过icacls可为特定用户或组添加允许权限，不影响其他已有权限，适用于快速授权场景。
1、执行命令：icacls "C:\TargetFile.txt" /grant "DOMAIN\Username:(F)"，其中(F)表示完全控制。
2、若需同时授予读取与写入但不包含删除权限，使用(R,W)组合：icacls "C:\Data" /grant "Users:(R,W)"。
3、添加 /t 实现递归授权：icacls "C:\Project" /grant "Admins:(F)" /t。
4、使用 /inheritance:e 确保子对象继承新设置的权限（仅当父对象原本启用继承时有效）。
三、拒绝某用户访问特定文件
拒绝权限优先级高于允许权限，可用于强制限制敏感资源的访问，即使该用户属于拥有更高权限的组。
1、运行命令：icacls "C:\Secret.docx" /deny "Guest:(RX)"，阻止Guest账户读取与执行。
2、拒绝全部访问使用(D)标志：icacls "C:\Config.ini" /deny "Everyone:(F)"。
通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。
3、拒绝操作同样支持递归：icacls "C:\Temp" /deny "TempUser:(F)" /t。
4、注意：拒绝权限不可被子对象继承覆盖，除非显式清除该拒绝条目。
四、重置权限为继承自父级的默认状态
当手动设置导致权限混乱时，可移除所有显式权限，恢复由上级目录继承而来的NTFS权限配置。
1、执行命令：icacls "C:\BrokenFolder" /reset，该操作仅重置当前对象权限，不修改子项。
2、如需同步重置所有子目录和文件，附加 /t：icacls "C:\BrokenFolder" /reset /t。
3、添加 /c 忽略无权访问的子项错误；添加 /l 可对符号链接本身而非目标应用重置。
4、重置后原显式设置的权限条目将被彻底删除，仅保留继承来源的ACE。
五、禁用继承并复制现有权限为显式条目
断开与父对象的继承关系后，可独立管理权限，常用于创建具有差异化安全策略的子目录。
1、运行命令：icacls "C:\Isolated" /inheritance:r，r代表remove，即禁用继承且不保留原ACE。
2、若需保留当前生效权限（即把继承来的权限转为本级显式权限），使用 /inheritance:d：icacls "C:\Isolated" /inheritance:d。
3、执行后可通过 icacls "C:\Isolated" 验证是否已无“Inherited”标记。
4、禁用继承后，父级后续权限变更不会影响该对象，须单独维护。
