银河麒麟系统启用访客只读共享需三步：图形界面勾选“允许游客访问”并设为只读；编辑smb.conf配置guest ok=yes和read only=yes；同步执行chown guest:guest、chmod 755及chmod -R a-w校准底层权限。

您需要在银河麒麟系统中让访客用户（如未登录账户、来宾会话或临时访客）能访问某个文件夹，但又不能修改其中内容，这种场景常见于公共信息展示、自助终端或会议演示环境。访客用户默认无系统账户，必须通过“游客访问”开关与最小化权限组合实现可控开放。

启用图形界面共享并开启游客访问

这是最快捷的方法，适用于访客只需读取文件、无需身份认证的轻量级场景。

在文件管理器中找到目标文件夹，右键→选择“属性”→切换到“共享”选项卡。

勾选“共享此文件夹”，同时【务必勾选“允许游客访问”】——这是访客能绕过账户登录直接访问的关键开关。

取消勾选“只读”后立即重新勾选它，确保访客只能查看不能修改；点击“确定”保存设置。

系统弹出密码验证窗口时，输入当前管理员开机密码；共享角标出现即表示生效。

通过Samba配置强制限定游客只读访问

当访客需通过网络（如Windows/Mac客户端）访问该文件夹时，图形界面设置不足以控制协议层行为，必须编辑Samba配置文件进行加固。

打开终端，执行：sudo vim /etc/samba/smb.conf，定位到文件末尾新增共享段：

[guest-share]
path = /srv/public
browseable = yes
read only = yes
guest ok = yes
create mask = 0644
directory mask = 0755

注意：guest ok = yes 是启用游客访问的硬性条件，缺一不可；read only = yes 确保写操作被Samba服务层拦截，哪怕文件系统权限开放写入也无效。

保存退出后，运行 sudo systemctl restart smbd 重启服务使配置生效。

同步校准底层文件权限防止越权

仅靠Samba或图形共享设置无法阻止访客通过本地登录（如TTY或GNOME来宾会话）直接访问文件系统路径，必须叠加Linux基础权限控制。

第一步：确认访客会话实际运行用户。银河麒麟默认来宾会话使用 guest 用户，执行 ls -ld /srv/public 查看当前归属。

第二步：若归属非 guest，运行 sudo chown guest:guest /srv/public 将所有者与所属组统一设为guest。

第三步：执行 sudo chmod 755 /srv/public，确保guest用户有读+执行（进入目录）权限，其他用户仅保留读+执行——【严禁使用777或757等开放写权限】。

第四步：对目录内全部现有文件和子目录递归应用只读策略：sudo chmod -R a-w /srv/public，移除所有用户的写权限，杜绝本地篡改可能。