必须启用全局对象访问审核策略、为目标文件夹配置sacl并满足ntfs等基础条件，三者缺一不可；否则安全日志不记录4656或4663事件。
要让 windows server 记录对 ntfs 文件夹的未授权访问行为（比如无权限用户尝试打开、读取或删除文件），不能只靠“禁止访问”提示，必须主动启用审核机制。核心是三者协同：全局审核策略开启、目标文件夹设置 sacl、ntfs 基础条件满足。缺一环，安全日志里就看不到 4663（对象访问）或 4656（句柄请求失败）这类关键事件。
启用全局对象访问审核策略
这是前提。没有它，系统根本不会把任何文件访问动作当作“可审计事件”来处理。
- 以管理员身份运行 gpedit.msc（组策略编辑器）
- 导航至：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审核策略 → 对象访问
- 双击“对象访问”，勾选“配置用于审核对象访问的全局对象访问审核”
- 再进入：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略
- 双击“审核对象访问”，同时勾选“成功”和“失败”（未授权访问属于“失败”，必须勾选此项）
- 执行 gpupdate /force 刷新策略
为目标文件夹添加失败访问对应的 SACL 条目
SACL 决定“谁的什么操作要被记下来”。针对未授权访问，重点不是监控有权限的人，而是捕获那些权限不足却发起请求的行为——这需要在 SACL 中明确指定主体并勾选“失败”触发的操作。
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 右键目标文件夹 → 属性 → 安全 → 高级 → 审核选项卡 → 添加
- 点击“选择主体”，输入 Everyone（或限定范围的组，如 Guests、Domain Users）
- 在下方权限列表中，勾选你关心的失败场景对应的操作，例如：
✓ 读取数据/列出目录（对应打不开、看不到内容）
✓ 写入数据/添加文件（对应保存失败）
✓ 删除子文件夹及文件（对应删不掉报错）
✓ 更改权限（对应无权修改 ACL） - 关键一步：在每项权限右侧，确认状态为“仅审核”，且下方两个复选框按需勾选（如需子文件夹继承，勾选“替换所有子对象的可审核项”）
验证与排查常见断点
配置完常出现“没日志”，多数因基础条件未满足：
- 确保该文件夹所在卷是NTFS 格式（FAT32 不支持 SACL）
- 检查是否误启用了EFS 加密：若文件被加密，即使权限允许，非加密者也会报“拒绝访问”，但该行为不触发 4663，而是静默失败；可用资源管理器查看“属性”列是否有 E 标识
- 运行 auditpol /get /category:"Object Access"，确认输出中“失败”列为“已启用”
- 打开事件查看器 → Windows 日志 → 安全，筛选事件 ID：4656（句柄请求失败，含拒绝原因）、4663（对象访问，含访问掩码与结果）、4670（权限更改）
- 用无权限账户实际尝试一次访问（如复制、打开、重命名），再刷新日志，看是否生成对应失败事件
不复杂但容易忽略：未授权访问的审计，本质是记录“请求—检查—拒绝”这一完整链条，而不是等错误弹窗才开始工作。策略生效后，每一次越权试探都会留下带登录 ID、进程名、时间戳和具体拒绝代码的日志条目，可用于溯源分析或合规举证。
