Windows Server 中无纯“只写”权限，但可设“只读”（允许读取、禁止修改删除）或“仅添加新文件”（允许写入和列出目录、显式拒绝删除权限），需协同配置NTFS与共享权限。

windows server 中无法直接设置“只写”权限，因为 ntfs 权限模型中没有独立的“只写不读”选项——写入操作（如保存、覆盖）通常需要先读取文件元数据或部分内容，系统逻辑上不允许纯写入而完全禁止读取。但可以实现“只读”和“仅能写入新文件（不能修改/删除已有文件）”两类实用场景。

如何正确设置文件夹“只读”权限

所谓“只读”，是指用户可查看、打开、复制文件内容，但不能修改、重命名、删除或覆盖任何现有文件。关键在于组合使用标准 NTFS 权限，并禁用继承干扰：

• 右键目标文件夹 → “属性” → “安全”选项卡 → “编辑” → 选择目标用户或组
• 勾选“读取”和“读取和运行”（允许打开程序类文件），取消勾选“写入”“修改”“完全控制”
• 点击“高级” → 取消勾选“允许将来自父系的可继承权限传播给该对象”，再点击“复制”以保留基础权限结构
• 确认后，该用户对该文件夹内所有现有文件拥有只读能力；若需对新建文件也生效，需确保权限已正确继承

如何实现“仅能添加新文件，不能改删旧文件”

这接近“只写”的业务需求，实际通过“写入 + 列出文件夹目录 + 拒绝删除”组合达成：

Windows-Android_SSH_Remote_Control

通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。

下载

• 赋予用户“写入”和“列出文件夹目录”权限（允许创建新文件/子文件夹、浏览目录结构）
• 同时在“高级权限设置”中，为同一用户显式拒绝“删除子文件夹及文件”和“删除”权限
• 注意：“拒绝”权限优先级最高，会覆盖其他允许项，因此必须单独添加拒绝条目
• 效果：用户可上传新文件、新建文件夹，但无法删除、重命名或覆盖已有文件（因覆盖=删除+新建）

命令行快速配置（适用于批量或无GUI环境）

使用 icacls（推荐，替代已弃用的 cacls）可精准赋权：

• 设为只读（含子项）：icacls "D:\Shared" /grant:r "Domain\Users:(RX)" /t
• 仅允许新增、禁止删改：icacls "D:\Upload" /grant:r "Domain\Users:(OI)(CI)(WD,AD,LC)" /deny "Domain\Users:(OI)(CI)(DE,DC,WD)" /t
  其中 (OI)=对象继承、(CI)=容器继承、(WD)=写入数据、(AD)=添加文件、(LC)=列出内容、(DE)=删除、(DC)=删除子容器

重要提醒：共享权限与 NTFS 权限要协同

仅设 NTFS 权限不够，还需检查共享级别设置：

• 在共享属性中，把“共享权限”设为“读取”（或“更改”），但不要依赖它做精细控制
• 最佳实践是：共享权限设为“完全控制”，全部安全策略交由 NTFS 权限管理，避免两层权限叠加导致意外放行
• 最终有效权限 = 共享权限 ∩ NTFS 权限（取更严格者），所以任一层设为“拒绝”都会阻断访问