NTFS权限是访问隔离的核心，直接控制用户对文件的打开、修改、删除等操作；EFS仅保障数据机密性，不替代权限控制，两者目标不同、必须组合使用才能实现分层防护。
windows 磁盘权限控制不靠“密码”，而是靠 ntfs 权限机制实现访问隔离；ntfs 加密（efs）是另一层独立保护，两者目标不同、互不替代。真正管住“谁能看到、谁能改”文件的，是安全描述符里的访问控制列表（acl），不是加密。
NTFS 权限才是访问隔离的核心
NTFS 权限直接决定用户或组能否打开、修改、删除某个文件或文件夹。它基于用户账户（如 Alice）、内置组（如 Users、Administrators）或自定义组来分配规则，每条规则包含“允许”或“拒绝”+具体操作（读取、写入、删除等）。
- 权限生效时遵循“拒绝优先”原则：哪怕用户属于多个组，只要其中任一组被明确拒绝某项操作，该操作就无法执行
- 权限可继承：子文件夹和文件默认沿用父级设置，但可通过“禁用继承”切断，建立独立控制
- 非所有者无法编辑权限：若“安全”选项卡中“编辑”按钮灰色，需先在“高级”里取得所有权
NTFS 加密（EFS）只负责数据机密性，不控制访问
EFS 是文件级加密技术，使用用户证书对文件内容加密。即使别人复制了你的加密文件，没有对应私钥就打不开——但它不阻止别人删、移、重命名甚至覆盖该文件。也就是说，EFS 保的是“内容看不见”，NTFS 权限保的是“根本碰不到”。
- EFS 加密后，文件图标带绿色小锁，仅对启用 EFS 的用户有效
- 管理员账户默认无权解密其他用户的 EFS 文件，除非提前备份恢复代理证书
- 若 NTFS 权限已禁止某用户访问该文件夹，EFS 是否启用已无关紧要——他连路径都进不去
组合使用才真正安全
单靠权限，文件在离线状态下可能被绕过（如用 PE 启动盘访问磁盘）；单靠 EFS，权限宽松时别人仍可删除或替换文件。理想做法是分层防护：
- 对敏感文件夹，先用 NTFS 权限限制可访问账户（如仅限本人+Backup Operators），并禁用继承
- 再对其中关键文档启用 EFS，防止物理介质丢失导致泄密
- 定期导出并离线保存个人 EFS 证书，避免系统重装后数据永久不可读
快速验证权限是否生效
设置完 NTFS 权限后，别只看界面是否成功。建议换账号登录（或用 runas 命令模拟），尝试以下操作：
- 能否在资源管理器中看到该文件夹/文件？（取决于“列出文件夹内容”权限）
- 双击能否正常打开？（依赖“读取和执行”）
- 能否另存为新文件？（需要“写入”权限）
- 能否右键删除？（依赖“删除”权限，注意：删除文件夹还需“删除子文件夹和文件”）
遇到“拒绝访问”却查不出原因，可用 icacls 文件夹路径 /verify 检查 ACL 完整性，或用 whoami /groups 查看当前会话实际所属组——常因组成员关系变化导致权限意外叠加。
