NTFS拒绝权限遵循拒绝优先原则，即任一拒绝条目生效即中断访问判定；适用于精准排除个别用户特定操作，须通过高级安全设置手动添加，禁用继承后显式配置并勾选“应用于：此文件夹、子文件夹和文件”，避免对Everyone/Users组滥用，且需注意组成员身份、所有权及EFS加密等绕过因素。
windows 中 ntfs 的“拒绝权限”确实能覆盖“允许权限”，但它的作用机制不是简单叠加，而是遵循拒绝优先原则：只要任一拒绝条目生效，对应操作就会被阻止，无论后面有多少允许条目。这不是“覆盖”，而是立即中断访问判定流程。
什么时候该用拒绝权限
拒绝权限适合用于精准排除个别用户或组的特定操作，比如：禁止某员工修改财务文件夹里的报表，但允许他读取；或限制某个服务账户不能删除日志子目录。它不适用于日常主权限配置，更不是“比允许更强”的通用开关。
- 仅在明确需要切断某人某项能力时使用（如禁止删除、禁止写入）
- 避免对 Everyone 或 Users 组设置拒绝——这容易误伤其他合法用户
- 拒绝权限不能继承给新建文件/子文件夹，除非你手动勾选“应用于：此文件夹、子文件夹和文件”
怎么正确添加拒绝权限
拒绝权限必须通过“高级安全设置”手动添加，不能在基础“编辑权限”界面直接勾选“拒绝”。步骤如下：
- 右键目标文件或文件夹 → “属性” → “安全”选项卡 → 点“高级”
- 点“禁用继承”（如果当前继承自父级），选择“从此对象中删除所有已继承的权限”——这一步很关键，否则拒绝可能被上级允许覆盖掉
- 点“添加” → “选择主体” → 输入要限制的用户名或组名（如 Finance-Intern）→ 确认
- 在下方权限列表中，只勾选你要阻止的操作**（如“写入”“删除”“更改权限”），其他全部留空
- 务必在底部勾选“应用于：此文件夹、子文件夹和文件”，再点“确定”
为什么拒绝权限有时没效果
常见失效原因不是设置错了，而是逻辑被绕过：
- 用户属于多个组：哪怕 Finance-Intern 被拒绝写入，但如果他还属于 Administrators 组，管理员权限会压倒拒绝
- 所有权未变更：若文件所有者是 SYSTEM，普通用户即使有拒绝条目，也可能因无权修改 ACL 而无法验证其生效
- EFS 加密优先于所有 NTFS 权限：文件被加密后，拒绝或允许都无效，只有解密者能打开
- 路径中某一级目录缺少“遍历”权限：用户连进入文件夹都做不到，根本触达不到里面的拒绝规则
替代方案：优先用允许 + 组隔离
比起生硬加拒绝，更健壮的做法是：移除无关用户/组的允许权限，只保留真正需要的人。例如：
- 把财务文件夹的“安全”选项卡里，删掉所有非财务人员的条目
- 新建一个叫 Finance-ReadOnly 的组，只给它“读取和执行”权限
- 把实习生加入这个组，而不是给他个人加“拒绝写入”
这样既清晰又易维护，也不会因组成员变动引发权限冲突。
