powershell是管理windows共享文件夹权限最直接、可复用性最强的工具，需协同配置共享级（smb）与文件系统级（ntfs）权限：共享权限仅控制网络访问入口，ntfs权限决定具体操作权限，最终生效权限为二者交集。
powershell 是管理 windows 共享文件夹权限最直接、可复用性最强的工具，它能同时处理共享级（smb）和文件系统级（ntfs）权限，且支持批量、脚本化与精细控制。关键在于区分两类权限：共享权限（通过 new-smbshare 等 cmdlet 设置）只控制网络访问入口；而真正决定“能看不能删”“能打开不能复制”的，是底层 ntfs 权限（用 get-acl/set-acl 管理）。两者需协同配置才有效。
创建共享并设置基础共享权限
使用 New-SmbShare 快速发布文件夹，并指定谁有访问权：
- 命令示例：
New-SmbShare -Name "ProjDocs" -Path "D:\Shares\Projects" -ReadAccess "DOMAIN\Staff" -ChangeAccess "DOMAIN\Managers" -
-ReadAccess允许读取+执行（打开、运行），但不能修改或删除；-ChangeAccess包含写入和删除子项权限 - 若需完全控制，用
-FullAccess；多个用户/组可用逗号分隔，如"DOMAIN\Users","BUILTIN\Administrators" - 注意：共享权限本身粒度粗，仅起“闸门”作用，不能阻止已连入者在本地绕过——必须配合 NTFS 权限
精确配置 NTFS 权限防止误删或另存为
共享权限无法限制“复制”“打印”“另存为”等客户端行为，这些由文件系统权限决定。例如让普通用户只能打开查看、禁止删除和写入：
- 先获取目标文件夹当前 ACL：
$acl = Get-Acl "D:\Shares\Projects" - 构造仅允许读取+执行的规则：
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule("DOMAIN\Staff", "ReadAndExecute", "ContainerInherit,ObjectInherit", "None", "Allow") - 清除旧规则并应用新规则：
$acl.SetAccessRule($rule); Set-Acl "D:\Shares\Projects" $acl - 关键点：“ReadAndExecute”包含遍历文件夹、读取属性、执行（对文档即“打开”），但不包含“Write”“Delete”“Modify”，自然禁用保存更改、删除文件、重命名等操作
递归应用权限到所有子项
新建共享后，子文件夹和文件默认继承父级 NTFS 权限，但若之前手动改过、或继承被禁用，需强制同步：
- 一行命令递归重置全部子项 ACL：
Get-ChildItem "D:\Shares\Projects" -Recurse | ForEach-Object { Set-Acl $_.FullName $acl } - 更稳妥的做法是先确保继承开启：
icacls "D:\Shares\Projects" /inheritance:e /T - 若需彻底清空现有权限再重建（如迁移后统一策略），可用：
icacls "D:\Shares\Projects" /reset /T /C /Q，之后再用Set-Acl或icacls /grant添加所需规则
验证与排查常见失效原因
权限未生效？多数问题出在组合逻辑或继承断层上：
- 检查双重权限叠加效果：用户最终权限 = 共享权限 ∩ NTFS 权限（取交集），任一端拒绝即无效
- 确认 NTFS 继承是否启用：
(Get-Acl "D:\Shares\Projects").AreAccessRulesProtected返回False表示继承开启 - 查看实际生效的访问规则：
(Get-Acl "D:\Shares\Projects").Access | Format-Table IdentityReference,FileSystemRights,AccessControlType,IsInherited - 防火墙或网络发现关闭也会导致“找不到网络路径”，需确保“网络发现”“文件和打印机共享”在“网络和共享中心”中启用
