必须启用密码保护共享、创建专用账户并配置共享与NTFS双重权限交集，禁用继承权限且为Users组添加删除拒绝规则，才能实现局域网安全共享。
要在局域网中让他人能访问你共享的文件夹，又不让无关人员删改、窥探甚至连上来看一眼，必须绕过“右键→共享→确定”这种默认设置——它默认放行Everyone、不设密码、NTFS权限与共享权限冲突，三者叠加等于把门敞开还卸了锁。
关闭泛化权限入口
先堵住最危险的默认通道。打开控制面板→网络和共享中心→更改高级共享设置→展开“所有网络”→将“密码保护的共享”设为【启用】。这一步强制所有远程访问必须凭有效账户登录，【禁用此选项会直接暴露Everyone权限，且Windows 11/10已不再兼容Guest无密访问】。
回到同一页面，检查“专用网络”下是否启用了“网络发现”和“文件和打印机共享”，没开就勾上——否则别人根本搜不到你的电脑。
创建专用共享账户
不要用你日常登录的管理员账户做共享凭证。按Win+R输入lusrmgr.msc→用户→右键→“新用户”。用户名填share-editor，全名写“协作编辑专用”，密码设为强密码（至少8位含大小写字母+数字），取消勾选“用户下次登录时须更改密码”和“密码永不过期”。
在“隶属于”选项卡中，只保留Users组，**绝对不要加Administrators或Power Users**——这能防止通过共享入口提权。
完成创建后，记下这个账户名和密码。后续所有共享权限都绑定它，而不是你的本机账户。
配置双重权限：共享层 + NTFS层
找到要共享的文件夹，右键→属性→共享选项卡→高级共享→勾选“共享此文件夹”，共享名建议用英文（如ProjectDocs），避免中文路径在SMB中解析失败。
点击“权限”→删除列表中所有现有条目→点“添加”→输入刚建的share-editor→勾选“完全控制”→确定。此时共享权限已设为最宽，但只是第一道门。
切到“安全”选项卡→编辑→添加→输入share-editor→勾选以下6项：
✔ 列出文件夹/读取数据
✔ 读取属性
✔ 读取扩展属性
✔ 创建文件/写入数据
✔ 创建文件夹/附加数据
✔ 读取权限
→取消勾选“完全控制”“更改权限”“取得所有权”“删除”“删除子文件夹和文件”。
这一步的关键是：共享权限放行“完全控制”，而NTFS权限精准收紧——系统最终生效的是两者交集，【缺一不可，只改其中一层会导致权限失效或过度开放】。
阻止本地绕过行为
仅靠网络权限不够。有人若能物理接触这台电脑，仍可能用本地账户直接打开该文件夹并删除内容。需补上最后一道锁。
右键文件夹→属性→安全→高级→禁用“继承权限”→选择“从此对象中删除所有已继承的权限”→确认。
再次点击“添加”→选择主体为share-editor→在下方权限框中，手动勾选：
① 遍历文件夹/执行文件
② 列出文件夹/读取数据
③ 读取属性
④ 读取扩展属性
⑤ 创建文件/写入数据
⑥ 创建文件夹/附加数据
⑦ 读取权限
→全部勾选“仅适用于：此文件夹”和“仅适用于：子文件夹和文件”，但**不勾选“仅适用于：文件”**。
最后，添加一条拒绝规则：主体选“Users”→勾选“删除”和“删除子文件夹和文件”→应用范围同上。这样即使本地登录普通用户，也无法删掉共享目录里的任何东西。
验证访问路径与连接方式
回到文件夹属性→共享选项卡→复制顶部显示的网络路径，形如\DESKTOP-ABCProjectDocs。
在另一台局域网电脑上，打开文件资源管理器→地址栏粘贴该路径→回车→弹出登录框时，输入share-editor及对应密码→进入后应可新建、修改、保存文件，但右键任意文件看不到“删除”选项，也无法重命名父文件夹。
