验证网络用户在共享目录中的实际有效权限需取共享权限与NTFS权限的交集，最可靠方法是使用Effective Access工具并结合手动比对和真实客户端测试。
要验证网络用户在共享目录中的实际有效权限，不能只看共享权限或ntfs权限单独一项，必须结合两者叠加后的结果。windows的最终访问控制是“共享权限 ∩ ntfs权限”，即取交集——更严格的那个起作用。验证的关键在于模拟真实访问路径，并逐层比对。
确认用户实际使用的登录身份
网络用户访问共享时，系统识别的是其提供的凭据（用户名+密码），而非本地当前登录名。常见误区是：你在本机以管理员登录，就以为远程访问也用这个身份。实际上：
- 若启用了“密码保护共享”，用户必须输入目标计算机上存在的账户和密码；
- 若关闭了密码保护共享，Windows会尝试用Guest账户或空会话访问，此时实际生效的是Guest的NTFS权限；
- 域环境中，用户凭据由域控制器验证，但NTFS权限仍基于该用户在目标机器上的SID解析（包括域用户组映射）。
使用Effective Access工具直接查看
这是最可靠、最直观的验证方式，它自动计算共享+NTFS叠加后的结果：
- 右键共享文件夹 → “属性” → “安全”选项卡 → 点击“高级” → 切换到“有效访问”选项卡；
- 点击“选择用户”，输入你要验证的网络用户名（如 DOMAINuser 或 COMPUTERNAMEuser）；
- 勾选“显示所有继承的权限”，点击“查看有效访问”；
- 结果中列出的权限（如“修改”“写入”“删除子文件夹和文件”）就是该用户通过网络访问时的真实能力。
注意：此工具默认只检查NTFS权限。若要包含共享层影响，需确保“共享权限”已设置为至少“读取”或更高——因为如果共享权限是“拒绝”，即使NTFS允许，最终也无效，而Effective Access不会显式标出共享层限制，需你手动比对。
Handsfree Windows Control
下载
通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。
手动比对两层权限表
当Effective Access结果与预期不符时，应人工核对：
- 查共享权限：右键文件夹 → “属性” → “共享”选项卡 → “高级共享” → “权限”。确认该用户或所属组在此处被赋予的级别（读取 / 更改 / 完全控制）；
- 查NTFS权限：同一文件夹“安全”选项卡 → “编辑” → 找到对应用户/组 → 查看具体勾选项（特别注意“删除”“删除子文件夹和文件”“更改权限”等细粒度项）；
- 取交集判断：例如共享权限为“更改”，NTFS权限含“修改”但不包含“删除”，则用户可新建、重命名、覆盖文件，但无法删除任何内容——这就是“可写不可删”的典型配置逻辑。
用真实客户端连接测试行为
理论验证之后，务必用目标环境下的真实客户端操作验证：
- 从另一台电脑，用该用户凭据映射网络驱动器（net use Z: \servershare /user:domainuser）；
- 尝试执行关键动作：新建文本文件、保存修改、重命名、删除文件、进入子文件夹；
- 观察是否弹出“拒绝访问”提示，或操作静默失败（如删除后文件仍在）；
- 若失败，记下具体操作和错误代码（如0x80070005），再回查对应权限项是否缺失。
这一步不可跳过——很多问题源于继承中断、显式拒绝项、或UAC虚拟化干扰，仅靠界面查看容易遗漏。
