应使用NTFS权限精准隔离临时工组对项目源码的访问：先禁用简单文件共享并确保NTFS格式，再为TempWorkers组仅授予“读取和执行”“列出文件夹内容”“读取”权限，禁用继承以防覆盖；如需彻底禁止，则添加对应拒绝规则，并通过测试账号验证生效。

要限制临时工组对项目源码的访问，核心是用 ntfs 权限做精准隔离——不是靠隐藏文件夹、禁用资源管理器，而是让系统在底层拒绝其打开、读取或执行源码文件。关键在于“只给必要权限、切断继承、明确拒绝多余操作”。

先确认前提条件
确保项目源码所在磁盘是 NTFS 格式（基本都是），且你以管理员或所有者身份操作。如果右键文件夹没有“安全”选项卡，请先关闭简单文件共享：打开文件资源管理器 → 查看 → 选项 → 查看标签 → 取消勾选“使用简单文件共享”。

为临时工组设置最小读取权限（推荐方案）
适用于需查看代码但禁止修改、复制、删除的场景：

• 右键项目源码根文件夹 → 属性 → 安全 → 编辑 → 添加
• 输入组名（如 TempWorkers 或 Domain\TempWorkers），检查名称后确定
• 选中该组，在下方权限列表中仅勾选三项：
  • 读取和执行
  • 列出文件夹内容
  • 读取
• 不要勾选写入、修改、删除、更改权限、取得所有权
• 点击应用 → 确定

这样，临时工可浏览目录结构、双击打开 .cs/.py/.js 等源码文件阅读，但无法保存修改、另存为、新建文件或删除任何内容。

必须禁用继承，防止上级策略覆盖
若源码文件夹位于开发目录下（如 D:\Projects\MyApp），父目录可能赋予了 Users 组宽泛权限。不切断继承，你的精细设置会被覆盖：

• 在同一文件夹的属性 → 安全 → 高级 → 点击“禁用继承”
• 选择“从此对象中删除所有已继承的权限”（⚠️不可逆，但这是确保策略生效的必要步骤）
• 再次回到安全选项卡，确认刚才设置的 TempWorkers 权限仍在列表中且未被覆盖

如需彻底禁止访问（零读取），用拒绝规则更可靠
有时仅不给权限还不够——若临时工属于其他拥有宽权限的组（如 Domain Users），NTFS 的“拒绝优先”原则可兜底：

• 在高级安全设置中 → 点击“添加” → 选择 TempWorkers 组
• 在“权限”窗口中，切换到“拒绝”选项卡（不是“允许”）
• 勾选：
  • 读取
  • 读取和执行
  • 列出文件夹内容
• 勾选“应用于：此文件夹、子文件夹和文件”
• 确保下方“替换所有子对象的权限项”被勾选
• 点击确定

此时即使该组通过其他途径获得过读取权，也会被这条拒绝规则直接拦截。

验证是否真正生效
别只信界面显示。换一个属于 TempWorkers 的测试账号登录（或用 runas /user:DOMAIN\temp01 cmd 模拟），尝试：

• 能否在资源管理器中看到该文件夹？（取决于“列出文件夹内容”）
• 双击能否打开 .sln 或 .py 文件？（依赖“读取和执行”）
• 是否能右键 → “编辑”或“另存为”？（无“写入”权限则灰色或报错）
• 执行 copy source.cpp backup.cpp 是否失败？（无“读取”则拒绝；有读取但无写入则无法保存到目标位置）

不复杂但容易忽略