Windows SMB共享中“完全控制”却无法修改文件，根本原因是共享权限与NTFS权限取交集，NTFS权限未授予写入等必要权限；还需排查文件只读属性、进程独占、SMB加密策略及服务器日志中的具体拒绝原因。
用户在 smb 共享中显示“完全控制”却无法修改文件，这几乎不是权限设置错了，而是权限模型被误解了——windows 的共享访问由两层权限共同决定：共享权限（share permissions）和 ntfs 权限（security permissions），二者取交集，且以更严格者为准。即使共享权限给了 everyone 完全控制，只要 ntfs 权限没同步放开写入，修改操作就会被拒绝。
检查 NTFS 权限是否真正允许写入
这是最常见、也最容易忽略的一环。共享权限只控制“能否通过网络进入这个共享名”，而真正决定“能不能删、改、重命名文件”的，是该文件夹在本机磁盘上的 NTFS 权限。
- 右键共享文件夹 → “属性” → “安全”选项卡 → 点击“高级”
- 确认当前用户或所属组（如 Users、Domain Users、特定账号）在“权限条目”中有以下关键权限勾选：
✔ 修改（Modify）
✔ 写入（Write）
✔ 创建文件/写入数据（Create files / write data）
✔ 创建文件夹/附加数据（Create folders / append data）
✔ 删除子文件夹和文件（Delete subfolders and files） - 特别注意“继承”状态：如果权限是手动添加的，但“从父项继承权限”被禁用，子文件夹和文件可能仍沿用旧权限；建议勾选“替换所有子对象权限项”并应用，确保整棵树一致
验证是否受“只读属性”或文件级锁定干扰
NTFS 权限再宽松，也管不了文件系统层面的只读标记或进程独占。
- 在目标文件上右键 → “属性”，取消勾选“只读”（尤其是整个文件夹被设为只读时，新建文件也会继承该属性）
- 尝试用记事本另存为同目录下的新文件（如 test_new.txt），看是否成功——若能新建但不能修改原文件，说明原文件正被其他程序（如 Excel、Word、杀毒软件、备份工具）以独占方式打开
- 用 PowerShell 快速检测句柄占用：
Get-Process | Where-Object {$_.Path -like "*目标文件路径*"} 或使用 handle.exe -a "文件名"（需 Sysinternals 工具）
排查 SMB 协议与服务端策略限制
某些 Windows Server 版本或组策略会主动干预写入行为，尤其在启用高级功能时。
- 检查是否启用了“基于访问的枚举（ABE）”：它本身不阻止写入，但如果用户对某子文件夹 NTFS 权限为“拒绝读取”，则即使有共享完全控制，也无法看到或修改其中内容（表现为路径存在但空白）
- 确认未启用“SMB 加密强制”且客户端支持：若服务器组策略启用“要求 SMB 加密”，而客户端（如旧版 Windows 7 或某些嵌入式设备）不支持 SMB 3.0 加密，连接可能降级失败，导致写入静默拒绝
- 运行 Get-SmbServerConfiguration | Select EnableSMB1Protocol, EncryptData 查看当前协议策略
查看服务器端详细日志定位真实拒绝原因
仅靠客户端报错（如“拒绝访问”“权限不足”）无法判断是哪一层拦下了请求。必须查 Windows Server 的安全日志和 SMB 服务器日志。
- 打开“事件查看器” → “Windows 日志” → “安全”，筛选事件 ID 4662（对象访问审计）：确认是否有“失败审核”，并查看“访问请求结果”字段是否为“Access Denied”及具体缺失的权限位
- 启用 SMB 服务器审核：
Set-SmbServerConfiguration -AuditSmb1Access $true -Force
然后在“事件查看器” → “Applications and Services Logs” → “Microsoft” → “Windows” → “SMBServer” → “Operational” 中查找错误事件 - 若已配置“对象访问”审计策略（组策略 → 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略 → 对象访问 → 文件系统 → 成功+失败），则 4662 日志会明确写出被拒绝的操作类型（如 WRITE_DATA）和账户 SID
