共享文件夹与权限设计

公司内部传文件，最省事的办法之一是在服务器上开一个共享文件夹。但共享目录出问题，十有八九不是技术故障，而是权限设计混乱：该进的人进不来，不该看的人随便看，出了事还查不到人。 两层权限是怎么回事 Windows 对共享目录的控制分两层。共享权限（Share Permission）决定能不能通过网络访问这个目录，NTFS（文件系统）权限决定进来之后能对文件做什么。用户最终拿到的权限，取两层中更严格的那个。比如共享权限给了"完全控制"，NTFS 只允许读取，用户实际就只能读。理解这一点，一半的"权限明明给了却没用"都能解释。 最小授权怎么落地 实务上有个简单做法：共享权限统一放开，精细控制全部交给 NTFS 层，这样只有一层权限实际生效，排错时不用两边对照。NTFS 这一层按组授权而不是按个人：财务目录只给财务组"修改"权限，普通员工组给"读取"，Everyone 不给写权限。授权跟着岗位走，人员变动只需要调整组成员，不用挨个改目录。 审计要提前开 出事之后再想查"谁删的文件"，往往为时已晚。提前在"本地安全策略 → 本地策略 → 审核策略"里开启"审核对象访问"，再到目录属性的"安全 → 高级 → 审核"里添加审核项，主体选 Everyone，勾上删除与改写类操作。之后每次删除、改名都会记录进事件查看器的安全日志，对应事件 ID 4663，配合 4660（对象删除）基本能还原操作时间线。 两个常见的坑 一是提示"无法访问，你可能没有权限"时，多数不是共享权限的问题，而是 Windows 10/Server 2019 起默认禁用了来宾（匿名）访问，要么客户端放开 AllowInsecureGuestAuth，要么老实用账号认证。二是 C$、D$ 这类带美元符号的管理共享是系统默认开放的，普通共享想不显眼也可以加 $ 后缀，但安全不靠藏，还是靠权限本身。 一句建议收尾：权限宁小勿大，有人反馈访问不了再逐条加，比事后追责容易得多。