Windows ACL核心由安全描述符中的DACL和SACL组成：DACL通过ACE定义用户/组对对象的访问权限（允许/拒绝），空DACL拒绝所有访问，无DACL则默认完全开放；SACL仅用于审计记录。
windows acl 的核心是通过安全描述符中的访问控制项（ace）来决定谁可以对文件、注册表项等对象执行什么操作。它不是“开关式”的全开全关，而是逐条匹配、按优先级生效的精细化权限体系。
ACL 由哪些部分组成
每个受保护对象（如一个文件夹）都关联一个安全描述符，其中包含两类关键列表：
- DACL（自主访问控制列表）：定义“谁可以做什么”，比如用户A能否读取、修改或删除该文件。没有DACL，默认允许所有人完全访问；DACL为空，则默认拒绝所有访问。
- SACL（系统访问控制列表）：不控制访问，只记录审计事件，比如“当用户B尝试写入被拒时，记入安全日志”。
每条 ACE 包含三个关键要素：安全标识符（SID，代表用户或组）、访问掩码（READ、WRITE、DELETE 等具体权限）、ACE 类型（允许/拒绝/审核）。拒绝类 ACE 具有最高优先级，一旦匹配即终止检查，不继续向下比对。
权限继承与覆盖机制
文件夹作为容器对象，其 DACL 可自动传递给子文件和子文件夹——这就是继承。但继承不是强制锁定：
- 子对象可选择“禁用继承”，转为独立管理自己的 ACE；
- 也可保留继承，再额外添加专属 ACE（例如在共享文件夹中单独禁止某用户访问某个子文件）；
- 显式设置的 ACE 总是优先于继承来的 ACE，无论顺序如何。
这种设计兼顾了集中管控与局部灵活，适合企业中按部门划分权限、再为特殊岗位微调的场景。
精细化配置的关键实操要点
使用图形界面（属性→安全→高级）或命令行（icacls）配置时，需注意几个易错细节：
- 添加用户时，务必确认 SID 解析正确——避免因域迁移或重名导致权限误配；
- 拒绝权限慎用：它会覆盖所有允许规则，建议优先用“不赋予”代替“明确拒绝”；
- 使用“替换所有子对象权限项”前必须备份原设置，该操作不可逆且影响范围大；
- 若需审计敏感操作，SACL 需配合本地或域策略开启“审核对象访问”，否则 SACL 不生效。
典型配置示例：分层权限模型
假设有一个项目文件夹 C:\Project，要求：
- 开发组（DevTeam）可读写全部内容；
- 测试组（TestTeam）只能读取，但对 C:\Project\Docs 有写权限；
- 外部协作者（Contractor）仅能读取 C:\Project\Public。
实现方式：
- 在 C:\Project 设置 DevTeam 完全控制，启用继承；
- 进入 C:\Project\Docs → 高级 → 禁用继承 → 复制现有 ACE → 添加 TestTeam 的修改权限；
- 在 C:\Project\Public 单独添加 Contractor 的读取权限，其他位置不出现其 SID。
这样既避免权限泛滥，又满足差异化需求，也便于后期审计追踪。
