关键在于共享权限与NTFS权限取交集：共享权限管“进门”，NTFS权限管“动东西”；推荐共享设宽（如统一“读取”），NTFS做严（禁用继承、显式赋权、慎用“完全控制”），并用真实账户验证。

配置 windows server 文件服务器的 ntfs 权限与共享权限，关键不是“怎么点”，而是“怎么叠”——两者不是替代关系，而是叠加生效：最终访问权限 = 共享权限 ∩ ntfs 权限（取交集）。只要其中任一权限拒绝，访问即被阻止。

先理清分工：共享权限管“进门”，NTFS 权限管“动东西”

共享权限只在通过网络访问（如 \servershare）时起作用，控制的是“能否连上这个共享”。它颗粒度粗，只有读取、更改、完全控制三档，且不支持按用户精细设置（尤其工作组环境）。
NTFS 权限则深入文件系统底层，控制具体文件/文件夹的读、写、执行、删除、修改属性等动作，支持精确到用户或安全组，并可设置继承、特殊权限和审计策略。
所以推荐做法是：共享权限设宽，NTFS 权限做严。例如共享权限统一给“读取”，所有精细控制全交给 NTFS 完成。

配置 NTFS 权限：禁用继承 + 显式赋权

为避免父级权限干扰，新建专用共享文件夹后，应主动禁用继承：

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 右键文件夹 → 属性 → 安全 → 高级 → 点击“禁用继承” → 选择“从此对象中删除所有已继承的权限”
• 点击“添加”→ 输入目标用户或组（如 SalesGroup、FinanceAdmin）→ 勾选所需权限（建议优先用“修改”或“读取和执行”，慎用“完全控制”）
• 在“应用于”下拉菜单中明确范围：选“此文件夹、子文件夹和文件”用于部门根目录；选“仅子文件夹和文件”适合给用户主文件夹预留创建权限
• 若需用户只能存不能删，可取消勾选“删除子文件夹和文件”和“删除”，保留“写入”和“读取”

配置共享权限：简单清晰，不越位

共享权限只需满足基础接入需求，无需复杂设置：

• 右键文件夹 → “共享” → “高级共享” → 勾选“共享此文件夹” → 点击“权限”
• 默认只有“Everyone”，建议删掉，改为添加具体用户或组（如 Domain Users）
• 普通协作场景：给用户组设“读取”（浏览+复制）或“更改”（可上传/覆盖，但不能删除）
• 绝对不要给 Everyone 设“完全控制”，这是多数权限失控的起点

验证与排障：用实际账户登录测试

配置完必须换真实账户验证，不能只看界面勾选状态：

• 用 Bob 账户从另一台电脑映射网络驱动器（net use Z: \servershare），尝试打开、新建、重命名、删除文件
• 若提示“拒绝访问”，先运行 whoami /all 确认当前组成员身份，再检查该用户是否同时满足共享权限和 NTFS 权限
• 常见陷阱：用户属于多个组，其中某组被显式拒绝（Deny）——Deny 优先级最高，会直接覆盖 Allow
• 启用“访问枚举（ABE）”可让用户只看到自己有权限的文件夹，提升体验（需在共享属性 → “共享”选项卡 → “高级共享” → “权限”旁勾选）