Windows共享权限控制网络访问入口（读取/更改/完全控制），NTFS权限管控本地及远程实际操作，二者取交集生效；缺一将导致“可见不可用”或“可连不可写”。
配置windows高级共享权限与ntfs权限，核心在于理解二者分工不同、生效场景不同、且最终权限取交集。只设其一，大概率导致“能看到共享但打不开”或“能连上却无法读写”。
共享权限：管“能不能进门”
共享权限仅在通过网络路径（如 \192.168.1.100Docs 或 \DESKTOP-ABCShared）访问时起作用，本地直接打开文件夹完全不受影响。它只有三个基础级别：
- 读取：可浏览、复制文件，不能新建、修改、删除
- 更改：含读取全部能力 + 创建/重命名/删除文件（不含删除共享本身）
- 完全控制：额外允许修改共享设置、删除共享名——日常共享中极少需要
注意：共享权限不区分文件与子文件夹，对整个共享路径统一生效；也无法精细到“只让某人改A.txt但不让动B.docx”。
NTFS权限：管“进门后能做什么”
NTFS权限基于磁盘文件系统，无论用户是本地登录、远程映射驱动器，还是通过UNC路径访问，只要触及该文件或文件夹，就受其约束。它支持更细粒度控制：
- 基础项包括：读取和执行、列出文件夹内容、读取、写入、修改、完全控制
- 高级项可单独勾选：如“创建文件/写入数据”“删除子文件夹及文件”“更改权限”“取得所有权”等
- 支持继承控制：默认子文件夹/文件自动继承父级权限，也可手动禁用并独立设置
例如：即使共享权限给了“更改”，若NTFS中没给“写入”，用户仍无法保存新文档；反之，NTFS开了“完全控制”，但共享只给“读取”，用户依然只能看不能改。
二者叠加规则：取最严的那个
系统不会合并权限，而是做逻辑“与”运算。实际可用权限 = 共享权限 ∩ NTFS权限。常见组合效果如下：
- 共享“读取” + NTFS“写入” → 实际只有读取
- 共享“更改” + NTFS“读取和执行+列出+读取” → 实际只有读取（缺“写入”）
- 共享“更改” + NTFS“读取和执行+列出+读取+写入” → 实际获得完整读写能力
- 共享“完全控制” + NTFS拒绝“删除” → 用户无法删除文件（拒绝优先于允许）
拒绝权限（Deny）具有最高优先级，一旦某项被显式拒绝，无论其他地方如何允许，该项即失效。
实操配置要点（避免踩坑）
要让特定用户安全、稳定地访问共享文件夹，按顺序执行以下动作：
- 确保网络基础就绪：启用网络发现、文件和打印机共享，SMB协议已开启（Win11建议启用SMB Direct），防火墙放行文件和打印机共享规则
- 创建专用本地账户（如shareuser），不用Administrator或Microsoft账户直连
- 在文件夹【属性→共享→高级共享→权限】中，只为该用户设“读取”或“更改”，务必移除Everyone
- 切换到【安全】选项卡，添加同一用户，勾选“读取和执行、列出文件夹内容、读取、写入”四项（满足常规读写）
- 点击“应用”时，勾选“替换所有子对象的权限项”，确保权限向下同步生效
不复杂但容易忽略
