windows共享权限与ntfs权限取交集而非相加，最终生效的是二者中更严格的权限；共享权限控制网络访问入口，ntfs权限决定具体操作能力，且对本地和网络访问均生效，配置时必须同步设置。
windows 中 ntfs 权限和共享权限不是相加，而是取交集——最终生效的权限，是两者中更严格的那一部分。比如用户在共享权限里被允许“更改”，但在 ntfs 权限里只给了“读取”，那他实际只能读取，不能写入或删除。这个叠加逻辑是 windows 文件共享安全的核心机制，配置时必须同步设置、缺一不可。
共享权限：控制谁能连进来
它只管网络访问入口，不决定具体操作能力：
- 右键文件夹 → 属性 → 共享 → 高级共享 → 权限
- 添加用户（如 Staff、Managers），不要依赖 Everyone
- 可选权限只有三项：读取（打开、运行）、更改（含写入、删除子项）、完全控制（含修改权限本身）
- 注意：“更改”不等于“能删父文件夹”，它仅作用于共享路径下的内容；删除共享本身需管理员本地操作
NTFS 权限：决定进来后能做什么
这才是真正约束文件行为的底层规则，对本地和网络访问都生效：
- 同一文件夹属性 → 安全选项卡 → 编辑 → 添加相同用户
- 常用组合建议：
- 只读用户：勾选“读取和执行”+“列出文件夹内容”+“读取”
- 编辑用户：再额外勾选“写入”（不含删除）
- 管理用户：勾选“修改”或“完全控制”，并确保“替换所有子对象权限”被启用
- NTFS 权限支持继承。若子文件夹权限异常，可在高级安全设置中点击“用在此容器中的对象继承权限项”来恢复
服务与网络前提必须就绪
权限设得再细，若底层不通，一切无效：
- 确认 Server 和 Workstation 服务处于“正在运行”状态（services.msc 查看）
- 启用 SMB 协议：optionalfeatures.exe 中勾选 SMB Direct（推荐），SMB 1.0 仅旧设备需要
- 网络发现与文件共享必须开启（网络和共享中心 → 高级共享设置）
- 防火墙要放行“文件和打印机共享”（专用/公用网络均勾选）
- 密码保护共享建议开启，避免凭据绕过 —— 这意味着客户端必须输入有效本地账户密码才能连接
验证与排错关键点
遇到“拒绝访问”或“只读”时，按顺序排查：
- 先用同一台电脑以目标用户身份本地打开该文件夹，确认 NTFS 权限是否生效
- 再从另一台电脑用 UNC 路径（如 \SERVERShareName）访问，观察是否弹出凭据框
- 若连不上：检查网络连通性、服务状态、防火墙、共享名拼写
- 若能连但操作受限：打开文件夹属性 → 安全选项卡 → 高级 → “有效访问” → 输入用户 → 查看实际计算出的权限
- 注意：组成员身份变更后，需重新登录或运行 gpupdate /force 刷新策略
