要真正管住Windows文件共享服务，必须同步配置网络层准入、共享层访问和文件系统层操作权限三层控制；共享权限决定能否连接共享路径，NTFS权限决定具体操作，二者取交集且NTFS优先；需禁用Everyone、限制写入权限、禁用继承、启用密码保护共享、创建专用账户并绑定策略、启用组策略防止复制、确保SMB服务与防火墙正常放行。
要真正管住 windows 文件共享服务，不能只靠“右键共享”点几下。核心在于三层控制：网络层准入、共享层访问、文件系统层操作权限。缺一层，就可能被绕过。
必须同步配置共享权限与 NTFS 权限
共享权限（通过“高级共享→权限”设置）只决定用户能否连上共享路径（如 \SERVERDocs），而 NTFS 权限（在“安全”选项卡里）才真正控制用户对每个文件能做什么。两者取交集，且 NTFS 权限优先级更高——哪怕共享给了“完全控制”，只要 NTFS 只给“读取”，最终结果就是只能看不能改。
- 共享权限中，仅添加明确需要访问的用户或组，取消 Everyone；权限勾选仅限“读取”（禁用“更改”“完全控制”）
- NTFS 权限中，同样只添加同一用户/组，允许项严格限定为：读取和执行、列出文件夹内容、读取；务必取消“写入”“修改”“删除子文件夹及文件”“删除”“完全控制”
- 点击“高级”→“禁用继承”→“将继承的权限转换为显式权限”，避免子项意外获得高权限
关闭密码保护共享前先评估风险
在“高级共享设置”中，“密码保护的共享”默认开启。关闭它虽能让访客免密访问（如 Guest 登录），但等于放弃身份验证门槛——任何知道 IP 和共享名的人，都可能试探成功。生产环境强烈建议保持启用，并为每个共享用途创建专用本地账户（如 share_readonly），再将其加入“从网络访问此计算机”策略。
- 账户创建路径：计算机管理 → 本地用户和组 → 用户 → 新建
- 策略绑定路径：gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配 → “从网络访问此计算机”
- 避免使用 Microsoft 账户共享，因其登录机制与 SMB 不完全兼容，易导致连接失败
阻止复制与下载需额外策略干预
基础权限只能防删改，无法阻止用户打开文档后 Ctrl+C 复制文字，或另存为到本地。若需真正限制内容外泄，得启用组策略封锁网络共享的复制行为：
- 运行 gpedit.msc → 计算机配置 → 管理模板 → Windows 组件 → 文件资源管理器
- 启用策略：防止从网络共享文件夹中复制文件
- 该策略生效后，用户仍可正常打开、阅读共享中的 Office 文档/PDF/图片，但无法通过资源管理器直接拖拽、复制、另存为，也无法用“发送到→桌面快捷方式”等间接方式导出
确保底层服务与防火墙放行
权限设得再严，若 SMB 协议没开、关键服务停了、或防火墙拦了 445 端口，共享根本不可达——所有权限形同虚设。
- 确认服务运行：services.msc 中检查 Server、Workstation、Function Discovery Resource Publication 均为“正在运行”
- SMB 版本：optionalfeatures.exe 中启用 SMB Direct（推荐），SMB 1.0 仅旧设备必需，存在安全风险，不建议启用
- 防火墙：Windows Defender 防火墙 → 允许应用 → 勾选“文件和打印机共享”在专用网络下的权限
