ntfs权限不控制密码修改，因其属于账户管理操作，由本地安全策略或用户账户属性（如“用户不能更改密码”）决定；ntfs仅管控文件和文件夹的读写等访问行为。
ntfs权限本身不控制“用户能否更改自己的密码”，这是由windows本地安全策略或域策略决定的，不是文件系统权限能干预的范畴。ntfs只管对文件和文件夹的访问行为（如读、写、执行、删除），而密码修改属于账户管理操作，发生在sam数据库或active directory层面。
真正起作用的是本地安全策略
要禁止某个用户更改自己的密码，需通过以下路径设置：
- 按 Win+R 输入
secpol.msc打开“本地安全策略” - 展开“帐户策略” → “密码策略”
- 找到“密码必须符合复杂性要求”“密码最长使用期限”等——但这些是全局规则，不能针对单个用户
- 若需按用户控制，必须使用“组策略”（
gpedit.msc）或域环境下的GPO
针对单个用户的替代办法
虽然NTFS无法锁定密码修改，但可通过账户属性直接限制：
- 打开“计算机管理” → “系统工具” → “本地用户和组” → “用户”
- 右键目标用户 → “属性” → 切换到“常规”选项卡
- 勾选“用户不能更改密码”（这是最直接有效的方式）
- 同时可勾选“密码永不过期”，避免因过期触发强制修改
为什么NTFS权限在这里不适用
用户修改自己密码时，系统调用的是LSASS进程与SAM交互，不涉及任何NTFS路径读写。即使你把C:\Windows\System32\config\SAM设为拒绝所有访问，系统也会因无法启动而报错——这不是保护手段，而是破坏行为。NTFS权限在此场景下既无效，也不安全。
