必须通过ntfs权限精细配置：右键文件夹→属性→安全→编辑→添加用户→勾选“读取和执行”“列出文件夹内容”“读取”，取消“写入”等修改权限，并勾选“替换所有子对象的权限项”以递归应用。
要让特定员工只能查看公司财务报表却无法复制粘贴、拖拽导出，或让实习生能打开设计源文件但禁止另存为本地副本，必须在Windows系统内精确控制每个用户对文件的读取、写入、执行、删除及高级权限行为。
通过NTFS权限精细控制单个文件夹访问
右键目标文件夹→ 选择“属性”→ 切换到“安全”选项卡→ 点击“编辑”按钮。
点击“添加”，输入具体用户名或用户组（如“Design_Team”），点击“检查名称”确认存在后→ 点击“确定”。
在下方权限列表中，勾选“读取和执行”“列出文件夹内容”“读取”，【务必取消勾选“写入”“修改”“删除子文件夹及文件”】——这样用户可双击打开、滚动浏览，但无法Ctrl+C复制文本、无法拖拽另存、无法右键“另存为”到桌面。
勾选“替换所有子对象的权限项”，确保权限递归应用到内部所有文件与子文件夹→ 点击“应用”→ 等待提示完成。
用组策略批量禁用剪贴板与拖拽功能（域环境）
此方法适用于已加入企业域的电脑，管理员统一推送，普通用户无法本地绕过。
在域控制器上运行“gpedit.msc”→ 导航至：计算机配置 → 管理模板 → 系统 → 剪贴板 → 启用“阻止跨设备剪贴板同步”和“阻止将数据复制到剪贴板”。
继续导航至：用户配置 → 管理模板 → 桌面 → 禁用“拖放功能”→ 启用该策略。
刷新策略：在客户端电脑上以管理员身份运行CMD→ 输入gpupdate /force并回车→ 等待“正在更新策略…”提示结束。
设置共享文件夹的网络级只读权限
方法一：基础共享设置
右键文件夹→ “属性”→ “共享”选项卡→ 点击“高级共享”→ 勾选“共享此文件夹”→ 点击“权限”→ 删除“Everyone”，仅添加指定用户→ 将其权限设为“读取”。
方法二：结合NTFS与共享双重限制
即使共享设为“读取”，若NTFS权限仍开放“写入”，用户通过本地路径（如\192.168.1.10share）访问时仍可能修改。因此【必须同步在“安全”选项卡中将同一用户的NTFS权限也限定为仅“读取”】，实现双重保险。
验证方式：用被限权账户登录另一台电脑→ 映射该共享文件夹→ 尝试复制任意文件→ 系统弹出“拒绝访问”提示即生效。
