要查清谁在什么时候访问过你的电脑共享文件夹，需区分实时会话查看与历史审计追溯：实时可通过“共享文件夹→会话”查看当前连接的计算机名、用户名、ip等；历史访问则须提前启用“审核对象访问”策略、为目标文件夹配置sacl审核规则，再通过事件查看器筛选id为4663的事件，或用powershell导出近24小时日志。
要查清谁在什么时候访问过你的电脑共享文件夹，必须区分“当前谁连着”和“过去谁动过文件”——前者能立刻看到在线用户，后者需提前开启审计才能追溯操作痕迹。
实时查看当前连接的用户
这一步不需要任何预设，只要共享已启用，就能秒级获知此刻谁正连着你的文件夹。
右键“此电脑”→选择“管理”→左侧展开“系统工具”→“共享文件夹”→点击“会话”。
右侧列表直接显示客户端计算机名、用户名（若对方未匿名登录）、IP地址、空闲时间及打开的文件数。注意：如果用户名显示为“Guest”或空白，说明对方以来宾身份连接，【无法通过此界面区分具体操作人】。
想立刻断开某个连接？右键对应条目→“关闭会话”→点“是”即可生效。
追溯历史文件访问行为（需提前配置）
Windows默认不记录谁打开了哪个文件，必须手动开启对象访问审核并为文件夹添加审核条目，否则事件查看器里永远搜不到4663事件。
第一步：启用全局审核策略
按 Win+R 输入 gpedit.msc → 计算机配置 → Windows设置 → 安全设置 → 本地策略 → 审核策略 → 双击“审核对象访问” → 勾选“成功”和“失败” → 确定。
第二步：为共享文件夹单独配置审核规则
右键目标共享文件夹 → 属性 → 安全 → 高级 → 切换到“审核”选项卡 → 点击“添加” → 输入 Everyone 或具体用户组 → 在下方勾选“读取数据”“写入数据”“删除”等你关心的操作类型 → 确保“应用于”设为“此文件夹、子文件夹和文件” → 确定保存。
第三步：在事件查看器中筛选4663事件
Win+R 输入 eventvwr.msc → 左侧导航至 Windows日志 → 安全 → 右侧“筛选当前日志” → 在“包含事件ID”框中输入 4663 → 点击确定 → 查看结果列表中每条记录的“详细信息”选项卡 → 关键字段：“Subject”（操作用户）、“Object Name”（被访问的完整路径）、“Accesses”（如 ReadData、WriteData）。
快速导出近24小时所有访问日志（PowerShell）
适合需要批量分析或留档的场景，命令执行后自动生成桌面 CSV 文件，含时间、事件ID 和原始消息。
以管理员身份运行 PowerShell。
粘贴并执行以下命令：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4663; StartTime=(Get-Date).AddHours(-24)} | Select TimeCreated, Id, Message | Export-Csv -Path "$env:USERPROFILE\Desktop\ShareAccessLog.csv" -Encoding UTF8
执行完成后，打开桌面上的 ShareAccessLog.csv 文件即可查看结构化日志。注意：该命令仅提取已生成的4663事件，【若此前未启用审核策略或未配置SACL，则输出为空】。
