windows文件共享权限设计核心在于命名逻辑：共享名须小写、连字符分隔、绑定上下文；目录结构需与ntfs路径对齐；隐藏共享须登记管理；权限组命名统一为sg-共享名-动词格式。
windows 文件共享目录的权限设计，核心不在“怎么设”，而在“怎么想”——命名是权限逻辑的起点，不是后期补救的标签。一个清晰、可推演的命名体系，能直接降低配置错误率、提升后续维护效率，也避免出现“这个share是谁用的？”“manager和managers哪个才是正式组？”这类混乱。
共享名称必须遵循可读性+唯一性+无歧义三原则
共享名不是随便起个英文单词就行，它要承担“第一眼识别用途”的责任：
- 全部小写，不带空格、中文、特殊符号（如
public-share合法，Public Share或Public_Share!非法） - 用连字符
-分隔语义单元，不用下划线或驼峰（hr-docs-2024优于HRDocs2024） - 禁止使用通用词如
sharedatafiles单独出现，必须绑定上下文（finance-invoices-q2可，invoices不可） - 部门级共享统一加前缀，如
it-backups-dailysales-customer-lists，避免跨部门重名冲突
目录结构与NTFS路径命名需对齐共享逻辑
共享名只是入口，真正决定权限边界的，是底层文件夹路径及其NTFS ACL。命名必须反映层级意图：
- 根共享目录建议用
d:\shares\统一挂载，下设deptroleproject三级子目录（如d:\shares\marketing\campaigns\q3-launch） - 用户主目录共享（如
home）必须对应d:\shares\users\%username%，且路径中禁用空格或点号（zhang-san可，Zhang San或zhang.san易引发脚本解析异常） - 敏感目录名本身不暴露权限等级，但可通过后缀暗示用途：
read-only-archivewrite-limited-temp比safedanger更专业、更可持续
隐藏共享与命名规范要同步管理
用$后缀实现隐藏是技术手段，但不能替代命名治理：
- 所有以
$结尾的共享（如admin-tools$logs-archive$）必须登记在内部共享清单中，注明用途、负责人、有效期 - 禁止为常规业务共享加
$来“掩盖权限缺陷”，比如把finance-reports改成finance-reports$却不收紧NTFS权限，等于掩耳盗铃 - 开发/测试类临时共享，命名须含环境标识：
dev-api-test-v2$qa-data-sample$，上线后及时归档或删除
权限组命名必须与共享名形成映射关系
权限最终落在组上，组名就是权限策略的说明书：
- 组名格式统一为
sg-共享名-动词，例如sg-finance-reports-readsg-sales-campaigns-write，一眼可知作用对象和能力边界 - 避免泛化组名如
all-usersadmins直接赋权，改用sg-all-dept-readsg-it-admins-full等明确范围的组 - 跨部门协作组命名体现双向归属：
sg-hr-it-onboarding比onboarding-team更能防止后期权限漂移
