必须完成三步闭环：启用全局对象访问审核策略、为目标文件夹手动配置含“写入数据/写入属性”的SACL（主体须精确，禁用Everyone）、强制刷新策略并验证4663事件生成；缺一不可，否则无日志。
要在Windows系统中准确记录谁在何时修改了哪个文件，必须完成策略启用、路径审计配置和日志验证三步闭环操作，缺一不可；只开策略不配路径，或只配路径不刷新策略，均不会产生4663事件。
启用全局对象访问审核策略
这一步是整个文件审计的日志总开关。未启用时，后续所有SACL设置都形同虚设，系统完全不写入任何文件级访问日志。
按 Win + R 输入 gpedit.msc 回车 → 导航至「计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略」→ 双击「审核对象访问」→ 勾选「成功」和「失败」→ 点击确定。
【家庭版用户无法使用gpedit.msc】需改用命令行：以管理员身份运行PowerShell，执行 auditpol /set /category:"Object Access" /success:enable /failure:enable。
为目标文件夹配置SACL审计规则
策略只是总闸，SACL才是决定“具体审谁、审什么”的阀门。它不继承、不自动生效，必须为每个敏感路径手动添加，且权限类型必须是“仅审核”，不是“允许”。
第一步：右键目标文件夹（如 D:\Projects\SourceCode）→ 属性 → 安全 → 高级 → 切换到【审核】选项卡。
第二步：点击【添加】→ 【选择主体】→ 输入精确组名（如 Dev-Editors），**切勿输入 Everyone 或 Authenticated Users**，否则日志爆炸且无法定位责任人。
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
第三步：在权限列表中，【必须勾选“写入数据/添加文件”和“写入属性”】——前者捕获内容修改，后者捕获时间戳、只读属性等隐性变更；其余如“读取数据”可不选，避免冗余日志。
第四步：在“应用于”下拉菜单中选择「此文件夹、子文件夹和文件」→ 勾选「替换所有子对象的可审核项」→ 确定保存。
强制刷新策略并验证4663日志是否生成
配置完不刷新，策略仍处于挂起状态；不验证，你永远不知道修改是否真正生效。
以管理员身份运行PowerShell → 执行 gpupdate /force → 等待提示“处理组策略完成”。
继续执行 auditpol /get /category:"Object Access" → 确认输出含“成功: 已启用”和“失败: 已启用”。
打开事件查看器（eventvwr.msc）→ 左侧导航至「Windows 日志 → 安全」→ 右键「安全」→ 「筛选当前日志」→ 在“事件ID”栏填入 4663 → 点击确定。
用测试账户（非管理员）在该文件夹内新建一个文本文件并保存 → 立即回到事件查看器点击刷新 → 若出现新条目，双击查看「访问掩码」值为 0x2（写入）且「帐户名」显示该测试账户，则审计已激活。
