给临时外包人员配置ntfs权限的核心是“最小必要、隔离明确、时效可控”：新建独立账户（如outsourcer_tom_2026q4）、禁用继承、按需分配读取/写入等标准权限、同步设置匹配的共享权限，最终通过测试验证并支持一键删除回收。
给临时外包人员配置ntfs权限，核心是“最小必要、隔离明确、时效可控”——不给多余权限，不混入内部组，且权限可快速回收。实际操作中需避开继承干扰、绕过所有权限制，并与共享权限协同生效。
创建独立账户并禁用继承
不要把外包人员加进现有用户组（如Users或Domain Users），避免权限扩散。应新建专用本地账户（如Outsourcer_Tom_2026Q4），密码设为短期有效（如90天过期）。右键目标文件夹→【属性】→【安全】→【高级】→点击【禁用继承】→选“从此对象中删除所有已继承的权限”。这一步必须做，否则上级目录策略可能覆盖你刚设的限制。
按需分配标准权限组合
根据外包工作内容，只勾选对应的标准权限项：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 仅查看交付文档：勾选读取和执行＋列出文件夹内容＋读取
- 需上传修改稿但不可删源文件：勾选读取和执行＋读取＋写入（不勾“修改”和“删除”）
- 若需创建子文件夹（如分版本目录）：额外勾选创建文件夹/附加数据（属“特别权限”，需在【高级】→【编辑权限】中手动启用）
同步设置共享权限（网络访问必做）
外包通常通过网络访问，单设NTFS权限不够。右键同一文件夹→【属性】→【共享】→【高级共享】→【权限】，只添加该外包账户，权限设为“读取”或“更改”（与NTFS中设定保持一致）。注意：系统最终生效的是共享权限和NTFS权限中更严格的一项。例如NTFS允写入但共享只给读取，则实际只能读。
权限验证与快速回收
用外包账户远程登录（或切换用户测试），尝试打开、保存、新建、删除等动作，确认行为符合预期。项目结束前，直接在【安全】选项卡中删除该用户条目即可撤权；若已离职且账户被禁用，可提前在【高级】→【所有者】中将文件夹所有者改回管理员，避免后续无法清理残留权限。
