windows文件共享访问控制由共享权限、ntfs权限和身份验证策略共同决定，最终有效权限是三者叠加后最严格的结果；共享权限控制网络访问级别，ntfs权限决定文件系统级操作，二者取交集，且必须通过合法身份验证才能生效。

windows 文件共享目录的访问控制不是单一层级的设置，而是由网络层、文件系统层和身份验证策略共同决定的。真正起作用的权限，是多个环节叠加后最严格的那个结果。

共享权限：网络访问的第一道门

共享权限只在用户通过 \计算机名共享名 或 \IP地址共享名 方式远程访问时生效。它不控制本地登录后的操作。

• “读取”：能浏览文件名、打开并读取文件内容、运行程序
• “更改”：包含读取权限，并允许新建、修改、重命名、删除文件和子文件夹
• “完全控制”：除更改权限外，还能修改共享本身的权限设置和获取文件所有权

注意：共享权限默认常向 Everyone 组开放读取，这存在安全风险，建议改为指定用户或组。

NTFS 权限：文件系统级的最终裁决者

NTFS 权限绑定在文件或文件夹上，无论用户是本地登录还是网络访问，都必须满足这一层限制。它比共享权限更精细，支持“读取和执行”“写入”“修改”“完全控制”等十余种具体操作。

Windows-Android_SSH_Remote_Control

通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。

下载

• 最终有效权限 = 共享权限 ∩ NTFS 权限（取两者中更严格的）
• 例如：共享设为“更改”，NTFS 设为“读取和执行+写入”，用户实际只能读、写，不能删除
• NTFS 权限可继承，也可对子文件夹/文件单独设置，但需手动取消继承才能生效

账户与身份验证策略

没有合法身份，连权限检查环节都进不去。Windows 要求访问共享前必须完成身份验证：

• 推荐使用专用本地账户（非 Microsoft 账户），密码强度达标，且已加入“从网络访问此计算机”用户权限
• 若启用 Guest 访问，需在组策略中开启来宾账户、允许空密码登录、关闭密码保护共享——仅适用于高度可信的小型局域网
• “网络访问：可匿名访问的共享”策略应保持未定义（即禁用），避免绕过认证直接访问

配套服务与网络配置

权限再细，底层不通也白搭：

• 确保 SMB 协议已启用（尤其是 SMB 2.0/3.0），SMB 1.0 仅用于兼容老旧设备
• Workstation、Server、Function Discovery Resource Publication 这三个服务必须运行
• 网络发现和文件共享需在“高级共享设置”中启用，“密码保护的共享”建议开启
• 防火墙要放行“文件和打印机共享”规则（专用/公用网络均需勾选）