NTFS 权限决定最终效果
Windows 上共享权限与 NTFS 权限叠加后才决定谁能访问文件，实际生效的通常是两者中更严的那一个。评估里最常见的偏差是把共享权限收紧了，但目录上的 NTFS 权限仍允许普通用户组写入。核查要落到具体目录：谁有显式授权、继承关系是否被中断、有没有把 Everyone 之类的宽泛主体写成可写。
基本信息
| 重点目录 | 财务、人事、研发代码库、备份与脚本目录 |
|---|---|
| 核查内容 | 显式权限、继承关系、特殊权限与所有者 |
| 常用工具 | icacls 导出权限清单，再与基线做差异比对 |
| 叠加关系 | 共享权限与 NTFS 权限取更严者 |
| 方法 | 按数据分级抽样，敏感目录全量核查 |
典型使用场景
- 敏感目录抽查：确认财务与人事目录是否存在宽泛写权限
- 共享迁移评估：文件服务器迁移前核对权限是否会随迁移放宽
- 权限异常定位：用户反馈无权访问时区分共享层与文件层问题
- 变更前留档：权限调整前导出清单，便于回退与比对
- 合规核查：为等保类要求提供权限现状证据
导出与检查示例
导出与检查示例
# 导出目录树的权限清单，输出到受控位置
icacls 'D:\Data\Finance' /save perms.txt /t
# 查看单个目录的权限并定位宽泛主体的写权限
icacls 'D:\Data\Finance'
# 抽样核查：Everyone、Users 等宽泛主体是否带写或修改权限
# 大目录树按数据分级抽样，敏感目录做全量权限标记读法
| 标记 | 含义 | 风险提示 |
|---|---|---|
| F | 完全控制 | 对敏感目录属高风险授权 |
| M | 修改，含删除 | 可篡改与删除文件 |
| W | 只写 | 可投递文件，常被用于脚本投放 |
| RX | 读取与执行 | 共享目录的常规权限 |
| OI 与 CI | 对象继承与容器继承 | 决定权限是否向下传递 |
| IO | 仅继承，不作用于本目录 | 排查时容易看漏实际来源 |
只查共享层会得出错误结论：共享权限看起来只读，但 NTFS 层可写时文件仍可被修改，两层要一起看。
修改线上目录权限风险高：先导出清单与所有者信息留档，再按变更流程调整，避免把业务账号挡在门外。