核心是“组+禁用继承+权限交集逻辑”三层协同：先建逻辑清晰的组（如dept-editors），再禁用继承并清空旧规则，最后按角色分配差异化ace；拒绝优先于允许，需用icacls验证实际acl。
为多个用户配置复杂的 ntfs 组合权限，核心不是逐个点选，而是靠“组 + 禁用继承 + 权限交集逻辑”三层协同。windows 不会记住你“想让 a 读 b 写 c 删除”，它只执行 acl 规则：谁在哪个层级被明确允许或拒绝，且拒绝永远优先于允许。
先建组，别直接绑用户
把用户归入逻辑清晰的组，是管理复杂权限的基础。例如：
- 创建 Dept-Editors 组，加入需要修改文件的用户（如 Alice、Bob）
- 创建 Dept-Viewers 组，加入仅需查看的用户（如 Charlie、Diana）
- 创建 Dept-Approvers 组，加入有审批权的用户（如 Eve），可额外赋予“更改权限”和“取得所有权”
组名建议带部门/角色前缀，避免与系统内置组（如 Users、Administrators）混淆。后续所有权限都授给组，而非单个用户——这样增删成员时无需重配文件夹。
禁用继承，再清空旧规则
目标文件夹若继承自上级，权限会层层叠加，极易冲突。必须主动切断：
- 右键文件夹 → 属性 → 安全 → 高级
- 点击禁用继承 → 选择从此对象中删除所有已继承的权限
- 确认后，列表只剩你手动添加的条目，干净可控
这一步不可跳过。否则即使你给 Dept-Editors 设了“修改”，上级可能通过继承给了 Everyone “读取”，最终结果仍是“读取+修改”的交集——但更常见的是因继承中含“拒绝”项导致整个访问失败。
按角色分配差异化 ACE（访问控制项）
在清空后的安全窗口中，依次添加各组并设置具体权限组合：
- Dept-Editors：勾选“修改”“读取和执行”“列出文件夹内容”“读取”“写入”；取消“取得所有权”“更改权限”
- Dept-Viewers：仅勾选“读取和执行”“列出文件夹内容”“读取”；确保“写入”“删除”“更改权限”全部未勾选
- Dept-Approvers：除“修改”外，额外勾选“更改权限”和“取得所有权”（用于后续接管异常文件）
- 如有临时协作者，可单独添加其账户，并设为“读取和执行”+“写入”，但不勾选“删除”——这样能存新文件，但不能删他人文档
注意：NTFS 权限默认向下继承到子文件夹和文件。若某子文件夹需例外（如“财务报表”子文件夹只给 Dept-Approvers 访问），对其单独重复上述三步：禁用继承 → 清空 → 重设组权限。
用 icacls 命令验证与补漏
图形界面有时隐藏细节，用命令行快速核对实际生效的 ACL：
icacls "D:\Projects\Q3" /t
输出中每行末尾的 (OI)(CI) 表示继承标志，(DENY) 表示拒绝项。若发现某用户被意外拒绝，通常源于：
- 该用户同时属于两个组，其中一组被显式拒绝（比如 Dept-Interns 被拒，而用户又在 Dept-Editors 中）
- 父级残留的拒绝 ACE 未被彻底清除（禁用继承时没选“删除所有”）
- 用户账户本身被赋予了“拒绝读取”这类高优先级规则
此时可用 icacls 删除特定拒绝项，或直接在图形界面高级设置里定位并移除。
