ntfs特殊高级权限需在“高级安全设置”中手动配置ace实现操作级控制，如仅删子文件夹、只改权限不读内容等；须禁用继承、确认所有者，并通过“显示高级权限”勾选细项；拒绝权限优先于允许，可用icacls命令批量设置。
ntfs特殊高级权限不是勾选几个复选框就能完成的，它需要在“高级安全设置”中手动配置具体访问控制项（ace），用于实现精细到操作粒度的控制，比如“仅允许删除子文件夹但不能删除文件”“只允许更改权限但不能读取内容”等场景。这类权限通常不通过基础安全选项卡直接设置，而是通过“高级”界面中的“添加权限条目”逐项启用。
进入高级权限配置入口
右键目标文件或文件夹 → 【属性】→【安全】选项卡 → 点击【高级】。确保你已是该对象的所有者（若【编辑】灰显，需先点击【更改】所有者并勾选“替换子容器和对象的所有者”）。禁用继承（选择“从此对象中删除所有已继承的权限”）是关键前提——否则新增的特殊权限可能被上级规则覆盖或干扰。
添加并配置特殊权限条目
在“高级安全设置”窗口中点击【添加】→【选择主体】输入用户名或组名 → 点击【确定】进入权限详情页。此时不要勾选“完全控制”“修改”等预设模板，而是展开【显示高级权限】区域，手动勾选以下典型细项：
- 遍历文件夹/执行文件：允许用户进入该文件夹或运行程序，但不隐含读取权限
- 列出文件夹/读取数据：能看到文件名、列表内容，但无法打开查看文件体
- 读取属性 / 读取扩展属性：仅读取文件系统元数据（如创建时间、作者），不涉及正文内容
- 写入属性 / 写入扩展属性：可修改时间戳、自定义标签等，但不能改文件内容
- 删除子文件夹及文件：可在该文件夹内删子项，但不能删自身（区别于“删除”权限）
- 更改权限：能编辑该对象的ACL，但需同时拥有“读取权限”才能看到当前设置
- 取得所有权：可将自己设为所有者，但不会自动获得读/写能力
注意拒绝权限的绝对优先级
如果同一用户既被赋予某项“允许”，又被某个组策略或直接条目设置了对应“拒绝”，则拒绝始终生效，且不可绕过。例如：给Bob单独加了“写入数据”允许，但其所属的“Guests”组被明确拒绝了“写入属性”，那么他仍无法修改文件属性——因为拒绝权限高于一切允许。排查权限问题时，务必在【高级】→【有效访问】中输入用户名模拟验证，而不是仅看权限列表。
命令行补充：icacls精准控制特殊权限
图形界面难以批量或精确表达某些组合，可用icacls命令实现。例如：
icacls "D:\Secret" /grant Bob:(OI)(CI)(AD,WD,DC)
含义：授予Bob对D:\Secret及其子项（OI=对象继承，CI=容器继承）的“附加数据（AD）”“写入数据（WD）”“删除子文件夹及文件（DC）”三项特殊权限，不含读取、执行或删除自身权限。
