windows中应新建用途明确的专用本地用户组（如financereaders），而非修改内置组；通过“计算机管理→本地用户和组→新组”创建并添加用户，再在文件夹“安全”选项卡中为该组分配ntfs权限，禁用guest、慎用administrator账户。
在Windows系统中，通过本地用户和组管理账号权限，本质是把用户归入特定组，再对组统一设置NTFS文件权限或本地策略权限，避免逐个用户配置导致权限混乱、遗漏或后期难以维护。
创建专用本地用户组
不建议直接修改内置组（如Users、Administrators）的成员关系来实现业务权限控制，因为内置组承担系统级职责，误操作可能引发登录失败或功能异常。应新建用途明确的专用组。
按 Win + X → 选择“计算机管理” → 展开左侧“系统工具” → “本地用户和组” → 右键“组” → “新组”。
输入组名（如 【FinanceReaders】），添加描述（例如“财务部只读访问权限组”），点击“添加”将目标用户加入——支持手动输入用户名后点“检查名称”，也支持点“高级→立即查找”从列表选取。
确认后关闭窗口，组即创建完成并立即生效，无需重启服务或注销用户。
将用户加入管理员组获得系统级权限
方法一：图形界面操作
在“本地用户和组→用户”中右键目标用户名 → “属性” → 切换到“隶属于”选项卡 → 点击“添加” → 输入 Administrators → 点击“检查名称”确认 → 确定。
方法二：命令行强制添加（需管理员身份运行CMD）
执行：net localgroup Administrators 用户名 /add，例如 net localgroup Administrators zhangsan /add。
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
注意：该操作不可逆，且一旦加入Administrators组，该用户将拥有对本机的完全控制权，包括安装驱动、修改系统文件、重置其他用户密码等。请确保用户名拼写准确，输错会导致新组被意外创建。
为组分配文件夹NTFS权限
第一步：右键目标文件夹 → “属性” → “安全”选项卡 → 点击“编辑” → “添加”。
第二步：在“输入对象名称”框中输入刚建的组名（如 FinanceReaders），点击“检查名称”，确认无误后点“确定”。
第三步：在下方权限列表中，根据实际需要勾选：
仅查看：勾选“读取和执行”“列出文件夹内容”“读取”；
允许修改但禁止删除：额外勾选“写入”，但**切勿勾选“修改”或“完全控制”**——否则用户可删除整个文件夹结构；
第四步：点击“应用” → “确定”。若“编辑”按钮灰色，说明当前用户不是该文件夹所有者或继承权限被锁定，需先点击“高级”→“更改所有者”或“禁用继承”后再操作。
禁用高危默认账户
Guest账户默认禁用，但若曾启用过，必须再次禁用：在“本地用户和组→用户”中双击“Guest” → 勾选“账户已禁用” → 应用。
Administrator账户虽默认禁用，但因其SID固定（S-1-5-21-…-500），是暴力破解首选目标。如非必要，保持禁用状态；如确需启用，务必设置【至少12位含大小写字母、数字、符号的强密码】，并重命名该账户（右键→重命名），降低被自动扫描命中的风险。
