配置多级子文件夹共享与ntfs权限的核心是分层控制：共享权限决定能否访问共享根路径，ntfs权限决定具体操作；需禁用继承、按组分层赋权，并以最严格权限生效。
配置多级子文件夹的共享权限与复杂 ntfs 权限嵌套，核心在于分层控制、权限继承管理与双层（共享 + ntfs）协同。不是简单“右键设一次”，而是要明确每层的作用边界，并主动干预继承关系，否则上层策略会覆盖下层精细设置。
先理清两层权限的分工逻辑
共享权限只管“能不能进门”——决定用户能否通过 \计算机名共享名 连接到该共享根路径；NTFS 权限才管“进门后能做什么”——决定对每个子文件夹、文件的具体操作（读/写/删/执行等）。两者取交集生效，且最严格者胜出。例如：共享设为“更改”，NTFS 设为“读取”，最终只能读；反之，共享设“读取”，NTFS 即便设“完全控制”，也仅限于读取。
禁用继承是实现嵌套差异化的前提
默认情况下，子文件夹会继承父文件夹的 NTFS 权限，导致所有层级权限雷同。要实现“采购部可写、财务部只读、审计组仅浏览日志”这类嵌套差异，必须逐级切断继承：
- 右键目标子文件夹 → 属性 → 安全 → 高级 → 点击【禁用继承】
- 选择【从此对象中删除所有已继承的权限】（清除旧规则）
- 点击【添加】手动为该子文件夹分配专属用户/组及对应权限（如“FinanceGroup”仅勾选“读取和执行”“列出文件夹内容”“读取”）
- 若需应用到所有下级子项，勾选【替换所有子对象的权限项】
按角色分组 + 分层赋权更易维护
避免为每个用户单独设置，改用本地或域用户组统一管理：
- 在“计算机管理 → 本地用户和组 → 组”中新建组，如：Procurement_RW、Finance_RO、Audit_Browse
- 将对应人员加入各组（支持跨部门成员归属多个组）
- 对不同子文件夹分别赋予对应组的 NTFS 权限（如 E:SharesProcurement 给 Procurement_RW “修改”，E:SharesFinanceReports 给 Finance_RO “读取”）
- 共享权限层面，只需在共享根目录（如 E:Shares）为这些组统一设“读取”或“更改”，不建议设“完全控制”以防误删共享配置
验证嵌套效果的关键动作
配置后务必用实际账户登录验证，不能只看界面勾选状态：
- 用 Bob 登录 → 访问 \SRV1Shares → 应能看到所有子文件夹名（因共享层允许“读取”）
- 但打开 FinanceReports 时，Bob 可查看文件、复制内容，却无法新建/重命名/删除（NTFS 限制）
- 尝试在 ProcurementDrafts 中新建文档 → 成功（NTFS 允许写入）
- 若某子文件夹完全不可见 → 检查其 NTFS 的“列出文件夹内容”是否被拒绝，或父级是否误设了“拒绝”权限（拒绝优先于允许）
不复杂但容易忽略。关键是把“共享权限”当门禁卡，“NTFS 权限”当房间钥匙，而“禁用继承+分组赋权”就是给每把钥匙配对不同的门锁。
