PowerShell是批量修改Windows共享文件夹权限最可靠的方式，需同步配置SMB共享权限（用New-SmbShare设置读/改/控）与NTFS文件系统权限（用Get-Acl/Set-Acl或icacls精细控制），二者取交集生效；共享权限仅控网络入口，NTFS权限决定具体操作，缺一不可。PowerShell 是批量修改 Windows 共享文件夹访问权限最可靠的方式，关键在于**同时管理共享级（SMB）和文件系统级（NTFS）两层权限**。只改其中一层，往往导致“能连上却打不开”“能打开却不能复制”等问题。
先建共享并设置基础 SMB 权限
用 new-smbshare 快速发布共享，并指定谁有读、改、控权限：
New-SmbShare -Name "DeptData" -Path "D:\Shares\Dept" -ReadAccess "DOMAIN\Staff" -ChangeAccess "DOMAIN\TeamLeads" -FullAccess "DOMAIN\ITAdmins"-
-ReadAccess允许打开、运行、遍历，但不能写或删；-ChangeAccess包含写入、删除子项；-FullAccess等同于完全控制 - 多个组用英文逗号分隔，如
"DOMAIN\Users","BUILTIN\Administrators" - 注意：共享权限只是“进门许可”，不防本地绕过，必须配合 NTFS 权限才真正生效
再统一配置底层 NTFS 权限
共享权限不管“另存为”“打印”“删除文件”这些操作，这些由 NTFS 权限决定。推荐用 Get-Acl + Set-Acl 批量同步：
- 获取基准 ACL：
$acl = Get-Acl "D:\Shares\Dept" - 构造新规则（例如仅允许 Staff 读取+执行）：
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule("DOMAIN\Staff", "ReadAndExecute", "ContainerInherit,ObjectInherit", "None", "Allow") - 清空旧规则、添加新规则：
$acl.SetAccessRule($rule)，再写回：Set-Acl "D:\Shares\Dept" $acl - 递归应用到所有子项：
Get-ChildItem "D:\Shares\Dept" -Recurse | ForEach-Object { Set-Acl $_.FullName $acl }
用 icacls 快速补漏或批量授予权限
对已有共享目录做快速权限追加或重置，icacls 更简洁高效：
- 授予某用户完全控制并继承：
icacls "D:\Shares\Dept" /grant:r "DOMAIN\TeamLeads:(OI)(CI)F" /T -
(OI)表示对象继承（作用于文件），(CI)表示容器继承（作用于子文件夹），F是完全控制，/T表示全树遍历 - 只给读取权限：
icacls "D:\Shares\Dept" /grant:r "DOMAIN\Staff:(OI)(CI)R" /T - 想清除某用户旧权限？先用
/remove:g "用户名"，再重新授权
处理常见权限异常场景
批量操作失败常因所有权或继承中断导致：
- 若提示“拒绝访问”，先重置所有权：
takeown /f "D:\Shares\Dept" /r /d y，再用icacls赋权 - 若子项权限不一致，检查是否禁用了继承：
icacls "D:\Shares\Dept" /inheritance:e /T启用继承 - 从网络复制来的文件夹可能带
Zone.Identifier阻止标记，运行：Get-ChildItem "D:\Shares\Dept" -Recurse -Force | Unblock-File
