普通用户可编辑但无法删除文件：仅授予读取、执行、写入、创建文件、列出目录权限，显式禁用“删除”和“删除子文件夹和文件”，并通过高级设置替换子对象权限，同时为Administrators组移除删除权，再单独赋予超级管理员完全控制权。
要让普通用户能打开、编辑、保存文件，但绝对不能删除任何文件或文件夹，必须绕过“管理员天然可删”的默认逻辑，直接在NTFS权限层切断删除能力，而不是依赖组策略或账户禁用等外围手段。
核心思路：只给“修改”权限，不给“删除”权限
Windows中，“修改”权限默认包含删除子对象（DC）和删除自身（DE）——这正是问题根源。必须手动拆解权限，保留读取、写入、执行、列出目录等能力，但显式排除删除相关条目。
右键目标文件夹 → 属性 → 安全 → 编辑 → 添加 → 输入Users → 检查名称 → 确定。
在下方权限列表中，仅勾选以下五项（其余全部不勾）：
✔ 读取和执行
✔ 列出文件夹目录
✔ 读取
✔ 写入
✔ 创建文件/写入数据
✘ 删除子文件夹和文件（DC）
✘ 删除（DE）
✘ 更改权限
✘ 取得所有权
【关键动作】点击“高级”→勾选左下角“替换所有子对象的权限项”→点确定。否则子文件夹和文件仍继承旧权限，删除限制无效。
加固方案一：对Administrators组也移除删除权
方法一：命令行精准控制（推荐）
以管理员身份运行PowerShell，执行：
icacls "D:\ProtectedFolder" /grant:r "BUILTIN\Administrators:(OI)(CI)(RX,W,WD,AD,WEA,WA)" /T
其中(OI)(CI)表示继承到子对象，(RX,W,WD,AD,WEA,WA)对应读取+执行、写入、添加文件、添加子目录、写入属性、写入扩展属性——明确不含DE（删除）和DC（删除子对象）。
方法二：图形界面操作
回到“安全→高级”，点击“禁用继承”→选择“从此对象中删除所有已继承的权限”→再点击“添加”→选择Administrators组→在“基本权限”中只勾选与上面一致的六项（RX/W/WD/AD/WEA/WA），**务必取消勾选“删除”和“删除子文件夹和文件”**。
加固方案二：单独授予超级管理员完全控制权
第一步：确认超级管理员账户名
在CMD中运行 whoami，记下完整格式，例如 DESKTOP-ABC123\Administrator 或 DOMAIN\SuperAdmin。
第二步：授予该账户完全控制权
在同一个“高级安全设置”窗口中，点击“添加”→“选择主体”→输入该账户名→确定→在“权限”框中勾选“完全控制”→勾选“仅应用于：此文件夹、子文件夹和文件”→确定。
第三步：验证权限层级
点击“有效权限”→输入该超级管理员账户→查看结果中必须包含DE和DC；再用普通用户账户验证，DE和DC应显示为“拒绝”或“无访问权限”。
这一步做完，普通用户双击删文件会提示“需要提供管理员权限”，而即使提权，系统也会因ACL中明确未授权而拒绝——不是弹窗问你，是直接报错“拒绝访问”。
