abe功能启用后，用户仅见自身有ntfs权限的文件和文件夹，服务端枚举阶段即裁剪无权项；生效前提是ntfs权限精确配置且客户端使用域账户访问smb共享。
直接在共享属性里启用“基于访问权限的枚举”（abe），就能让不同用户只看到自己有权限访问的子文件夹——这不是视觉隐藏，而是系统级过滤，客户端根本不会收到无权访问项的列表。
确认前提条件
ABE 功能依赖 NTFS 权限生效，且仅对 SMB 共享有效：
- 共享文件夹必须位于 NTFS 分区上（FAT32 不支持）
- 服务器需运行 Windows Server 2003 SP1 及以上版本（Server 2008/2012/2016/2019/2022 均原生支持，无需额外安装）
- 客户端使用标准 Windows 资源管理器访问 UNC 路径（如 \servershare），不通过第三方工具或 WebDAV
- 禁用“Everyone”或“Authenticated Users”的宽泛共享权限，否则会削弱 ABE 效果
启用 ABE 的标准操作步骤
以 Server 2016/2019/2022 为例（图形界面路径一致）：
- 打开“服务器管理器” → “文件和存储服务” → “共享”
- 右键目标共享文件夹 → “属性” → 切换到“共享”选项卡
- 点击“高级”按钮 → 勾选“启用基于访问权限的枚举”
- 点击“确定”保存；无需重启服务，设置立即生效
关键权限配合要点
ABE 不是独立功能，它依赖底层权限链完整生效：
- NTFS 权限必须精确设置：例如用户 Alice 对 D:HomeAlice 有“读取和执行”+“列出文件夹内容”，但对 D:HomeBob 完全无权限（不要留“继承自父对象”的残留权限）
- 共享权限应最小化：建议设为“Authenticated Users - 读取”，或更严格地只添加特定安全组（如 “Domain Users”）
- 避免权限冲突：若共享权限允许 Everyone 读取，而 NTFS 拒绝某用户，则该用户仍可能看到空文件夹或报错——ABE 过滤失效
- 本地 Administrator 登录时始终绕过 ABE，这是设计行为，不代表配置失败
验证是否生效
用干净环境测试最可靠：
- 新建虚拟机或清除凭据缓存（cmd → cmdkey /delete:*）
- 分别用两个域账户（如 Alice 和 Bob）登录，访问同一 UNC 路径（如 \fs1home）
- 观察资源管理器中显示的子文件夹：Alice 应只看见自己权限内的文件夹（如 Alice），完全看不到 Bob 目录；反之亦然
- 可辅以 PowerShell 验证：Get-SmbShare | Where-Object Name -eq 'home' | fl *abe* 查看 ABE 状态
