Windows文件夹权限设置：读取、修改、继承与有效访问
文件夹打不开、程序无法保存文件时，先确认需要访问的是哪个账户。本文以 Windows Server 2022 中文桌面体验为例，在独立测试目录 C:\BaoleDemo 中，为内置服务账户 LOCAL SERVICE 添加“修改”权限，再查看有效访问结果。目录须使用 NTFS 文件系统；其他 Windows Server 版本的菜单名称和位置可能略有不同。
一、确认目录和实际使用账户
在资源管理器新建空目录 C:\BaoleDemo；若同名目录已存在，先确认没有业务数据，再决定是否用于演示。右键选择“属性”，核对路径并保存原有权限截图，不在系统目录或整块磁盘上练习。
LOCAL SERVICE 是 Windows 内置服务账户，不需要为它创建密码。不同服务可能共用这个身份；配置真实业务时，应先在服务的“登录”等实际配置中确认运行账户，再给对应账户授权。当前管理员的登录身份不能代表程序身份。
二、查看安全页和继承来源
打开文件夹“属性 → 安全”，选中用户或组，查看下方允许的权限。常用权限的区别如下：
| 权限 | 适合的用途 |
|---|---|
| 读取和执行 | 查看文件和运行程序，不能据此写入、修改文件。 |
| 修改 | 读取、写入和删除内容，适合需要维护该目录文件的账户。 |
| 完全控制 | 还可更改权限等管理设置；普通读写需求通常不需要。 |
点击“高级”，查看权限列表的“继承于”和“应用于”。来自上级路径的权限是继承权限；“继承于”为“无”的条目，是在当前对象上直接设置的显式权限。“应用于”决定规则是否覆盖当前文件夹、子文件夹和文件。
三、给指定账户添加修改权限
- 回到“安全”页，先检查是否已有该账户的权限条目。本例新增授权时，点击“编辑 → 添加”；已有条目时先记录原值，再修改对应权限，避免把原有授权当成此次新增。
- 核对当前正在设置本机文件夹，在账户输入框填写
LOCAL SERVICE，点击“检查名称”，确认解析出对应的内置服务账户。 - 选中该账户，在“允许”列勾选“修改”，然后点击“应用”和“确定”。真实业务需换成前面核对过的实际账户。
- 重新打开“高级”，核对新增条目的主体为
LOCAL SERVICE、访问为“修改”。本例“应用于”为“此文件夹、子文件夹和文件”；已有子文件的继承设置不同，可能不会得到相同结果。
本例只添加目录权限，保留原有继承。若权限由父目录传下来，应先核对父目录；确需让这个目录独立管理时，才在目标目录“禁用继承”，并选择把继承权限转换为显式权限，再逐项调整。保留 SYSTEM 和管理员所需权限，不批量替换所有子对象权限。
新增一条较窄的权限，不会自动取消账户通过其他组获得的权限；取消一个勾选也不等于已经限制成功。下一步要看有效访问结果。
四、核对有效访问与业务结果
- 打开“高级 → 有效访问”，点击“选择用户”，选择刚才授权的
LOCAL SERVICE。 - 点击“查看有效访问”，检查读取、写入、删除等项目是否符合需要。若界面提示无法评估，不能把空白或不完整结果当成通过。
不需要让所有项目都变成绿勾。本例“完全控制”“更改权限”“取得所有权”为红叉，表示没有授予这些管理权限，并不代表读写权限配置失败。普通文件维护不必为了消除红叉而追加完全控制。
“删除”针对当前对象；“删除子文件夹及文件”是目录上用于删除子项的另一项权限。某个子文件能否删除，还要结合该子项和父目录的权限判断，不能只凭后者红叉认定所有子文件均无法删除。
本例演示权限保存和有效访问评估，评估结果不等于程序已经完成文件读写。配置真实目录后，还应按实际用途检查：
- 普通用户目录：使用获准的普通账户，在测试目录新建文本文件、保存内容、重新打开，再删除测试文件，核对所需操作。
- 服务程序目录：通过原程序的正常功能完成一次保存和读取，检查结果及日志。无需更改服务登录身份，也不能用管理员手工写入成功代替程序验证。
通过网络共享访问时，还要核对共享权限；只看本地文件夹的 NTFS 权限不能覆盖全部访问条件。若仍提示拒绝访问，先核对程序账户、所属组、拒绝项和具体失败路径，避免反复增加无关账户权限。
五、需要撤销时怎么恢复
撤销本次演示时，在“属性 → 安全 → 高级 → 权限”中找到本次新增的 LOCAL SERVICE 显式权限项，核对主体、访问和应用范围后移除并保存。若本次修改的是已有条目，应恢复记录中的原权限，不直接删除整项。
重新打开权限页和有效访问，比较变更前记录。移除显式权限后，账户仍可能通过继承或所属组获得访问权限，不能仅凭条目消失就认定已经完全禁止访问。若调整过继承，按原状态恢复；重新启用继承不会恢复之前删除的显式权限。