要限制局域网用户对共享文件夹的写入操作，核心是通过NTFS高级权限精准控制：在“安全→高级”中禁用继承后，为用户组设置“拒绝删除”和“拒绝删除子文件夹及文件”，同时按需允许“写入”或“修改”，共享权限则保持最小化（如仅“读取”或“更改”），二者协同生效。

要限制局域网用户对共享文件夹的写入操作，核心是区分“写入”与“修改/删除”的具体行为，并通过共享权限 + ntfs 权限组合控制。单纯勾选“读取”或“更改”往往达不到精细效果——比如“更改”权限默认允许删除，“写入”权限又不单独存在。真正可控的方式，是在 ntfs 层级精确授予或拒绝特定操作。

明确你要限制的写入类型

先确认目标：是禁止新增文件（写入）、禁止修改已有内容、还是禁止删除？不同需求对应不同权限设置：

• 只允许查看和下载 → 共享权限设“读取”，NTFS 设“读取和执行”+“列出文件夹内容”+“读取”
• 允许上传新文件，但不能改/删旧文件 → NTFS 中为用户组赋予“写入”（创建文件/文件夹），同时拒绝“修改”“删除”相关权限
• 允许编辑文件内容，但不能删除 → 需启用“修改”权限，但拒绝“删除子文件夹及文件”和“删除”两项

用 NTFS 拒绝权限精准拦截删除与修改

共享权限只能设“读取”“更改”“完全控制”三级，无法细分；真正起决定作用的是 NTFS 安全选项卡里的高级权限。关键操作在“拒绝”栏：

• 右键文件夹 → “属性” → “安全” → “高级” → 点击“禁用继承”（选择“将继承的权限转换为此对象的显式权限”）
• 点击“添加” → “选择主体” → 输入目标用户或组（如 Share_RW_Group）→ “确定”
• 在下方权限列表中，勾选“拒绝”列，然后展开“显示高级权限”
• 勾选以下两项（其他保持默认或按需勾选“允许”）：
    – 删除
    – 删除子文件夹及文件
• 点击“确定”保存。这样用户仍可新建、重命名、保存修改，但无法删除任何已有项目

共享权限保持最小化，避免覆盖 NTFS 控制

共享权限是第一道门，它不能比 NTFS 更宽松，否则会削弱精细控制效果：

• 在“共享”→“高级共享”→“权限”中，只给目标用户组分配“读取”或“更改”（不推荐“完全控制”）
• 如果已设“更改”，它本身包含删除能力，此时必须依赖 NTFS 的“拒绝”来压制——所以 NTFS 设置不可省略
• 确保 Everyone 不在共享权限列表中，防止权限泛化

验证与常见问题处理

设置后需从另一台电脑实际测试，注意几个易错点：

• 客户端访问时若提示“拒绝访问”，检查是否启用了密码保护共享（应关闭）或网络发现未开启
• 若用户能删文件，说明 NTFS 拒绝权限未生效——确认是否点击了“替换所有子对象的权限项”并应用到“该文件夹、子文件夹和文件”
• 修改文件后无法保存，常因同时拒绝了“写入”或“修改”权限，此时应保留“修改”，仅拒绝“删除”类权限