ABE功能启用后，用户仅见自身有NTFS权限的文件和文件夹，服务端枚举阶段即裁剪无权项；生效前提是NTFS权限精确配置且客户端使用域账户访问SMB共享。

直接在共享属性里启用“基于访问权限的枚举”（abe），就能让不同用户只看到自己有权限访问的子文件夹——这不是视觉隐藏，而是系统级过滤，客户端根本不会收到无权访问项的列表。

确认前提条件

ABE 功能依赖 NTFS 权限生效，且仅对 SMB 共享有效：

• 共享文件夹必须位于 NTFS 分区上（FAT32 不支持）
• 服务器需运行 Windows Server 2003 SP1 及以上版本（Server 2008/2012/2016/2019/2022 均原生支持，无需额外安装）
• 客户端使用标准 Windows 资源管理器访问 UNC 路径（如 \servershare），不通过第三方工具或 WebDAV
• 禁用“Everyone”或“Authenticated Users”的宽泛共享权限，否则会削弱 ABE 效果

启用 ABE 的标准操作步骤

以 Server 2016/2019/2022 为例（图形界面路径一致）：

• 打开“服务器管理器” → “文件和存储服务” → “共享”
• 右键目标共享文件夹 → “属性” → 切换到“共享”选项卡
• 点击“高级”按钮 → 勾选“启用基于访问权限的枚举”
• 点击“确定”保存；无需重启服务，设置立即生效

关键权限配合要点

ABE 不是独立功能，它依赖底层权限链完整生效：

• NTFS 权限必须精确设置：例如用户 Alice 对 D:HomeAlice 有“读取和执行”+“列出文件夹内容”，但对 D:HomeBob 完全无权限（不要留“继承自父对象”的残留权限）
• 共享权限应最小化：建议设为“Authenticated Users - 读取”，或更严格地只添加特定安全组（如 “Domain Users”）
• 避免权限冲突：若共享权限允许 Everyone 读取，而 NTFS 拒绝某用户，则该用户仍可能看到空文件夹或报错——ABE 过滤失效
• 本地 Administrator 登录时始终绕过 ABE，这是设计行为，不代表配置失败

验证是否生效

用干净环境测试最可靠：

• 新建虚拟机或清除凭据缓存（cmd → cmdkey /delete:*）
• 分别用两个域账户（如 Alice 和 Bob）登录，访问同一 UNC 路径（如 \fs1home）
• 观察资源管理器中显示的子文件夹：Alice 应只看见自己权限内的文件夹（如 Alice），完全看不到 Bob 目录；反之亦然
• 可辅以 PowerShell 验证：Get-SmbShare | Where-Object Name -eq 'home' | fl *abe* 查看 ABE 状态