NTFS权限无法按文件后缀设限，只能作用于文件或文件夹整体；有效方案是关闭写入通道（如设为只读），再结合文件服务器屏蔽、DLP软件或上传工具校验扩展名。
ntfs权限本身不支持按文件后缀（如 .txt、.docx）单独设限——它只作用于文件夹、文件或对象整体，无法识别扩展名。但你可以通过组合策略，在逻辑上实现“限制特定后缀文件写入”的效果。核心思路是：**不让用户在目标位置创建/修改这类文件，而非事后拦截**。
一、用NTFS权限禁止写入整个文件夹
这是最直接、最可靠的基础措施。只要用户没有“写入”和“修改”权限，就无法新建、保存、重命名或覆盖任何文件（无论后缀）：
- 右键目标文件夹 → 属性 → 安全 → 编辑
- 选中目标用户或组（如 Students），取消勾选“写入”“修改”“删除子文件夹及文件”“删除”
- 仅保留“读取和执行”“列出文件夹内容”“读取”
- 若该文件夹继承了上级宽松权限，务必先点击“高级”→“禁用继承”→“删除所有已继承的权限”，再添加上述纯净读取条目
二、配合文件系统级控制（需额外工具）
Windows原生不支持按扩展名过滤，但可通过以下方式补充：
- 文件服务器 + 文件分类服务（FSS）：仅在Windows Server中可用，可基于后缀设置文件屏蔽策略（如阻止上传 .exe 或 .bat），但客户端仍能复制/粘贴；需启用“文件服务器资源管理器”角色
- 第三方终端管控软件：如DLP（数据防泄漏）方案，可在应用层监控保存/另存为行为，拦截含特定后缀的写入操作（例如禁止保存为 .psd 到共享目录）
-
脚本+计划任务定期清理：用PowerShell定时扫描并删除指定后缀文件（如
Get-ChildItem D:\Shared -Filter "*.tmp" | Remove-Item），属于事后防御，不能阻止写入动作本身
三、用icacls命令行强化只读控制
适合批量部署或自动化场景，确保权限精准且不可绕过：
- 以管理员身份运行 PowerShell
- 先获取所有权：
takeown /f "D:\Restricted" /r /d y - 重置并拒绝写删权限：
icacls "D:\Restricted" /reset /t && icacls "D:\Restricted" /deny Users:(W,WD,AD,WDAC,WO) /t - 其中
(W,WD,AD,WDAC,WO)分别代表写入、删除、删除子项、更改权限、取得所有权 —— 全面封堵写入路径
四、替代思路：改用“只读共享 + 应用层约束”
如果目标是防止用户把敏感格式文件存进共享区，可从源头控制：
- 将共享权限设为“只读”，NTFS权限也设为只读，彻底关闭写入口
- 提供专用上传工具（如内部Web表单或轻量客户端），该工具在接收时校验扩展名，拒绝非法后缀
- 对必须允许写入的场景，使用EFS加密 + 权限分离：只给授权用户解密密钥，其他人即使复制走 .xlsx 也无法打开
本质上，NTFS不认后缀，所以真正有效的限制永远落在“能不能往这个位置写”，而不是“能不能写某个后缀”。把写入通道关严，再辅以应用层或服务层的扩展名校验，才是实用且稳定的方案。
