windows部门共享安全可用的关键是共享权限与ntfs权限协同生效，最终取二者中更严格的权限；必须先确保网络互通、smb启用、防火墙放行，再分别配置共享层“进门”权限和ntfs层“做事”权限，并使用专用账户而非everyone实现最小权限与可审计安全。
windows 部门共享要真正安全又可用，关键不是只设“共享”或只调“安全”标签页，而是让共享权限和 ntfs 权限协同生效——最终访问结果取两者中更严格的那个。漏配、错配、或用 everyone 一刀切，轻则别人打不开，重则整台电脑暴露在局域网风险中。
先确保网络基础通得稳
所有权限配置都建立在设备能互相看见、协议能正常通信的前提下。如果对方电脑根本找不到你的计算机名，后面全是白忙。
- 确认所有电脑连在同一路由器下（Wi-Fi 名称或有线 LAN 口一致）
- 进入【设置 → 网络和 Internet → 高级网络设置 → 高级共享设置】
- 在“专用网络”下开启【网络发现】和【文件和打印机共享】
- 在“所有网络”区域，保持【密码保护的共享】启用（办公环境必须）
- 检查 Windows Defender 防火墙：允许“文件和打印机共享”通过专用网络
- 打开【启用或关闭 Windows 功能】，勾选【SMB Direct】；旧设备需额外启用【SMB 1.0/CIFS 支持】
共享权限：控制谁能“敲门进来”
这是第一道门禁，不决定用户能做什么，只决定他有没有资格出现在这个共享路径里（比如 \DESKTOP-ABCDeptShare）。
- 右键目标文件夹 → 属性 → 【共享】→ 【高级共享…】→ 勾选“共享此文件夹”
- 点击【权限】→ 【添加】→ 输入具体部门账户（如 DEPT-EDIT、DEPT-VIEW），避免加 Everyone
- 为不同角色分配对应权限：
• DEPT-VIEW 组：仅勾选【读取】
• DEPT-EDIT 组：勾选【更改】（不推荐直接给“完全控制”） - 若需跨部门协作，可单独添加其他部门账户，而非扩大组范围
NTFS 权限：决定进门后能“干什么”
这是第二道锁，独立于共享层，控制用户对文件、子文件夹的实际操作能力。它必须和共享权限中使用的**同一账户或组**匹配，否则提示“拒绝访问”。
- 仍在同一文件夹属性窗口 → 切换到【安全】选项卡 → 【编辑】→ 【添加】
- 输入与共享权限中完全一致的账户名（如 DEPT-EDIT），点击【检查名称】确认解析成功
- 勾选必要权限：
• 所有用户至少需要：读取和执行 + 列出文件夹内容 + 读取
• 编辑人员额外勾选：写入 + 修改
• 不勾选“完全控制”，除非该用户确实要管理权限（如归档、删历史版本） - 若【编辑】按钮灰显，说明你不是文件夹所有者：点【高级】→ 【更改所有者】→ 选自己账户 → 勾选“替换子容器和对象的所有者”
安全加固与日常维护建议
权限配置不是一次性的，尤其在人员变动、项目交接时，容易留下冗余账户或过宽权限。
- 禁用 Guest 账户，不用“来宾登录”代替真实身份管理
- 定期检查【secpol.msc】中“从网络访问此计算机”策略，确保只包含必要账户
- 避免将用户直接加入 Administrators 组来“省事”——应通过专用组+NTFS细粒度授权实现最小权限
- 新员工入职：新建本地账户 → 加入对应部门组 → 在共享和 NTFS 层分别添加该组 → 分配对应权限
- 员工离职：立即从所有共享权限和 NTFS 权限列表中移除其账户或所属组
