windows无法实现纯共享层“只上传、禁查看”，但可通过ntfs拒绝所有读取权限+启用abe+共享设“更改”权限，使用户上传成功却不可见文件；替代方案包括ftp/sftp、web上传页或专业网关工具。
windows 本身不支持“只允许上传、完全禁止查看”的纯共享权限控制，因为 smb 协议的共享层中，“更改”权限会隐式包含“读取”能力（例如列出文件夹内容、读取文件属性），无法真正剥离。但可以通过共享权限 + ntfs 权限 + 访问枚举（ae）协同配置，实现“用户能上传文件，却看不到文件名、列表和内容”的效果——即视觉上“无法查看”，实际文件已存入。
关键逻辑：用拒绝读取 + 启用访问枚举隐藏内容
核心不是靠共享权限单独实现，而是让 NTFS 层明确拒绝所有读取类权限，并启用“基于访问的枚举（Access-based Enumeration, ABE）”，使用户在访问共享时只能看到自己有权限的项目。由于你拒绝了全部读取权限，用户连文件夹都“看不见”，但写入权限仍有效，上传操作可正常完成。
- 共享权限只需赋予“更改”（它自动带写入能力，且不强制要求显示列表）
- NTFS 权限必须显式拒绝**所有读取相关权限**（包括“列出文件夹内容”“读取数据”“读取属性”等）
- 同时允许必要写入权限**（创建文件/写入数据、写入属性等）
- 确保文件系统启用了 ABEO（Windows Server 默认开启；Win10/11 需手动确认或通过组策略启用）
具体操作步骤
第一步：设置共享权限（仅允许更改）
- 右键文件夹 → 属性 → 共享 → 高级共享 → 勾选“共享此文件夹”
- 点“权限” → 添加 Everyone（或指定用户/组）
- 选中该用户 → 只勾选“允许”列下的更改（不要勾“读取”）
第二步：配置 NTFS 权限（拒绝读取 + 允许写入）
- 文件夹属性 → 安全 → 高级 → 点击“禁用继承”→ 选择“转换为显式权限”
- 点击“添加”→ 输入 Everyone → 类型选“拒绝”→ 应用于“此文件夹、子文件夹和文件”
- 勾选全部读取类权限：
• 列出文件夹/读取数据
• 读取属性
• 读取扩展属性
• 读取权限
• 遍历文件夹/执行文件 - 再次“添加”→ 输入同一用户 → 类型选“允许”→ 应用于相同范围
- 勾选写入类权限：
• 创建文件/写入数据
• 创建文件夹/附加数据
• 写入属性
• 写入扩展属性
第三步：启用并验证访问枚举（ABE）
- Windows Server：默认启用。可在“文件服务器资源管理器”中确认共享属性里是否勾选“启用基于访问的枚举”
- Windows 10/11：需通过组策略启用：
计算机配置 → 管理模板 → 网络 → Lanman 工作站 → “启用不公开的共享”设为已启用（部分版本需配合注册表或 PowerShell 启用 ABEO 支持） - 测试方式：用目标账户映射网络驱动器后，打开该共享——应为空白或提示“无访问权限”，但拖入文件可成功上传；上传后仍不可见，也无法双击打开
替代方案：更可靠的做法是换协议或加中间层
若上述组合在客户端（尤其旧版 Windows 或 macOS）表现不稳定，建议：
- 用 FTP/SFTP 服务替代 SMB：如 FileZilla Server 或 WinSCP 搭配 OpenSSH，可精细控制“仅允许 STOR（上传），禁用 LIST / RETR（列表/下载）”
- 部署轻量 Web 上传页：用 Python Flask / PHP 搭建一个仅含上传表单的页面，后端接收文件并存入受限目录，彻底规避 SMB 权限复杂性
- 使用专业文件网关工具：如大势至共享文件管理系统、SyncThing 或 Nextcloud，提供“上传专用入口”模式，界面与权限完全隔离
单纯依赖 Windows 共享权限做不到真正的“可写不可读”，但通过 NTFS 拒绝 + ABEO 组合，能达到实用层面的“上传可见性归零”。重点在于拒绝必须落在 NTFS 层，且不能遗漏任何一项读取子权限。
