Windows部门共享安全可用的关键是共享权限与NTFS权限协同生效，最终取二者中更严格的权限；必须先确保网络互通、SMB启用、防火墙放行，再分别配置共享层“进门”权限和NTFS层“做事”权限，并使用专用账户而非Everyone实现最小权限与可审计安全。

windows 部门共享要真正安全又可用，关键不是只设“共享”或只调“安全”标签页，而是让共享权限和 ntfs 权限协同生效——最终访问结果取两者中更严格的那个。漏配、错配、或用 everyone 一刀切，轻则别人打不开，重则整台电脑暴露在局域网风险中。

先确保网络基础通得稳

所有权限配置都建立在设备能互相看见、协议能正常通信的前提下。如果对方电脑根本找不到你的计算机名，后面全是白忙。

• 确认所有电脑连在同一路由器下（Wi-Fi 名称或有线 LAN 口一致）
• 进入【设置 → 网络和 Internet → 高级网络设置 → 高级共享设置】
• 在“专用网络”下开启【网络发现】和【文件和打印机共享】
• 在“所有网络”区域，保持【密码保护的共享】启用（办公环境必须）
• 检查 Windows Defender 防火墙：允许“文件和打印机共享”通过专用网络
• 打开【启用或关闭 Windows 功能】，勾选【SMB Direct】；旧设备需额外启用【SMB 1.0/CIFS 支持】

共享权限：控制谁能“敲门进来”

这是第一道门禁，不决定用户能做什么，只决定他有没有资格出现在这个共享路径里（比如 \DESKTOP-ABCDeptShare）。

• 右键目标文件夹 → 属性 → 【共享】→ 【高级共享…】→ 勾选“共享此文件夹”
• 点击【权限】→ 【添加】→ 输入具体部门账户（如 DEPT-EDIT、DEPT-VIEW），避免加 Everyone
• 为不同角色分配对应权限：
  • DEPT-VIEW 组：仅勾选【读取】
  • DEPT-EDIT 组：勾选【更改】（不推荐直接给“完全控制”）
• 若需跨部门协作，可单独添加其他部门账户，而非扩大组范围

NTFS 权限：决定进门后能“干什么”

这是第二道锁，独立于共享层，控制用户对文件、子文件夹的实际操作能力。它必须和共享权限中使用的**同一账户或组**匹配，否则提示“拒绝访问”。

• 仍在同一文件夹属性窗口 → 切换到【安全】选项卡 → 【编辑】→ 【添加】
• 输入与共享权限中完全一致的账户名（如 DEPT-EDIT），点击【检查名称】确认解析成功
• 勾选必要权限：
  • 所有用户至少需要：读取和执行 + 列出文件夹内容 + 读取
  • 编辑人员额外勾选：写入 + 修改
  • 不勾选“完全控制”，除非该用户确实要管理权限（如归档、删历史版本）
• 若【编辑】按钮灰显，说明你不是文件夹所有者：点【高级】→ 【更改所有者】→ 选自己账户 → 勾选“替换子容器和对象的所有者”

安全加固与日常维护建议

权限配置不是一次性的，尤其在人员变动、项目交接时，容易留下冗余账户或过宽权限。

• 禁用 Guest 账户，不用“来宾登录”代替真实身份管理
• 定期检查【secpol.msc】中“从网络访问此计算机”策略，确保只包含必要账户
• 避免将用户直接加入 Administrators 组来“省事”——应通过专用组+NTFS细粒度授权实现最小权限
• 新员工入职：新建本地账户 → 加入对应部门组 → 在共享和 NTFS 层分别添加该组 → 分配对应权限
• 员工离职：立即从所有共享权限和 NTFS 权限列表中移除其账户或所属组