必须同时配置共享权限与NTFS权限才能实现精细化访问控制：共享权限决定“能否进门”，NTFS权限决定“进门后能做什么”，缺一不可；网络需设为“专用”模式，IP须同网段，用户组需按角色划分并正确赋权。
要在公司内部让设计组、行政组、财务组对同一文件夹拥有不同操作权限，比如设计总监可删改全部文件、助理可上传但不能删、其他人仅能查看，必须同时配置共享权限与NTFS权限，缺一不可。
确认网络基础状态
打开【设置】→【网络和Internet】→【以太网】或【Wi-Fi】→点击当前连接名称→确认“网络配置文件”显示为【专用】。若显示“公用”，点击下方“属性”→切换为“专用”。这是关键前提，公用网络下Windows默认禁止所有入站SMB连接，哪怕后续权限全开也访问不了。
按 Win+R 输入 cmd → 输入 ipconfig → 找到“IPv4 地址”，记下类似 192.168.1.105 的地址。两台以上电脑必须在同一网段（前三个数字相同），否则无法通信。
创建用户组并分配成员
方法一：用计算机管理界面操作
按 Win+X → 选择【计算机管理】→【系统工具】→【本地用户和组】→【组】→右键空白处→【新建组】。
组名填“Design_Editors”，描述写“设计组可编辑成员”，点击【添加】→输入两位助理的登录账户名（如 DESKTOP-ABCLiMing），确认添加。
同理再建“Design_Viewers”组，加入八名普通设计成员。
方法二：命令行快速批量建组（适合已有标准用户名列表）
以管理员身份运行 PowerShell → 输入：
net localgroup Design_Editors /add
net localgroup Design_Viewers /add
net localgroup Design_Editors LiMing ZhangWei /add
net localgroup Design_Viewers WangHua ChenJie ... /add
注意：用户名间用空格分隔，不能有中文顿号或逗号。
设置共享权限（粗粒度控制）
第一步：右键目标文件夹→【属性】→【共享】选项卡→【高级共享】→勾选“共享此文件夹”→【权限】。
第二步：清空默认的“Everyone”条目→点击【添加】→输入“Design_Editors”→勾选“完全控制”→确定。
第三步：再次【添加】→输入“Design_Viewers”→仅勾选“读取”→确定。
第四步：勾选“拒绝”复选框旁的“拒绝”列，对“Guest”用户明确打钩“完全控制”→防止匿名访问绕过控制。
这一步只决定谁能“进门”，不决定进门后能做什么。如果跳过NTFS权限设置，Design_Viewers组成员仍可能因NTFS继承权限获得修改权——所以必须继续下一步。
配置NTFS权限（精细动作控制）
回到文件夹【属性】→切换到【安全】选项卡→【编辑】→【添加】→输入“Design_Editors”→点击【检查名称】→确定。
在下方权限列表中，勾选“修改”“写入”“删除子文件夹及文件”三项，**不要勾选“取得所有权”和“更改权限”**——助理不需要重设权限或夺取文件所有权。
再次【添加】→输入“Design_Viewers”→仅勾选“读取”和“列出文件夹内容”。
点击【高级】→勾选左下角“替换子容器和对象的权限项”→确定→等待权限继承应用完成。这一步耗时取决于文件数量，中途关闭窗口会导致权限不一致。
最后检查：任意一名Design_Viewers成员登录电脑→映射网络驱动器→进入该共享文件夹→尝试右键新建文本文档→应提示“拒绝访问”。若能新建，则说明NTFS权限未生效或被更高权限覆盖。
测试与验证访问路径
在另一台电脑上，按 Win+R → 输入 \192.168.1.105（替换成实际IP）→回车。
若弹出凭据窗口，输入Design_Editors组内任一成员的本地账户名和密码；若弹出“你没有权限”的错误，先确认该账户确实在Design_Editors组中，再检查防火墙是否放行“文件和打印机共享（SMB-In）”规则。
成功进入后，分别用Design_Editors和Design_Viewers账户登录两台不同电脑，执行以下动作验证：
• Editor账户：可新建、重命名、删除任意文件，可修改文件夹属性；
• Viewer账户：可打开、复制、打印文件，但右键菜单无“删除”“重命名”“属性”选项。
