承接上篇，本文詳細解析「累加原則」、釐清「檔案權限優先於資料夾」的迷思，並深入探討複製、移動操作對 NTFS 權限的影響，以及跨檔案系統（FAT32）時的權限遺失問題。
原則四：累加原則
使用者同時屬於多個群組時，其有效權限為所有群組「允許」權限的聯集（累加）。
範例
- 使用者
zhong 屬於群組 A（權限：讀取）與群組 B（權限：寫入）。
- 實際有效權限：讀取 + 寫入（累加結果）。
⚠️ 關鍵提醒：「拒絕優先」仍具最高優先序。若群組 A 有「拒絕寫入」，即使群組 B 允許寫入，最終結果仍為「無法寫入」。
迷思釐清：檔案權限是否優先於資料夾權限？
舊版文件曾提及「單一檔案權限設定會優先被系統採用」，但在 Windows XP/2003 實測中：
- 檔案與其父資料夾權限獨立運作，存取檔案時同時檢查「資料夾遍歷/列出權限」與「檔案本身權限」。
- 若資料夾無「列出資料夾/讀取資料」權限，即使檔案給予「完全控制」，使用者也無法透過總管瀏覽進入（但若知完整路徑，可能透過命令列直接存取檔案）。
- 結論：資料夾權限是進入檔案的大門，檔案權限是檔案本身的鎖，兩者缺一不可，不存在單純的「檔案優先」。
複製與移動對權限的影響
情境一：複製資源
- 來源物件權限不變。
- 新建立的目標物件：繼承目標位置父資料夾的權限（不保留來源權限）。
情境二：移動資源
| 移動類型 | 權限變化 |
|---|
| 同一磁碟分區內移動 |
保留物件原有權限（含明確權限與繼承權限），不重新繼承目標父資料夾權限。 |
| 跨磁碟分區移動 |
本質為「複製後刪除來源」。目標物件遺失所有原有權限，改為繼承目標父資料夾權限。 |
情境三：移動/複製至非 NTFS 分區（FAT16/FAT32/exFAT）
- 所有 NTFS 權限（ACL）完全遺失，目標檔案系統不支援 ACL。
- 這也是為何備份至 FAT32 隨身碟後，權限設定會消失的原因。
實務操作建議
- 移除 Everyone 完全控制：新建資料夾預設給予 Everyone 完全控制，建立後立即編輯 ACL，移除 Everyone 或僅保留「讀取/執行」。
- 規劃權限模型：以角色群組（如「會計_讀寫」、「業務_唯讀」）授權，避免直接指派個人帳號。
- 文件化權限變更：跨分區移動、大量複製前，先匯出來源 ACL（
icacls /save），移動後套用（icacls /restore）。
- 定期稽核：使用
icacls 或 PowerShell Get-Acl 掃描關鍵資料夾權限異常。
總結
NTFS 權限四大原則——拒絕優先、最小權限、繼承性、累加——構成完整邏輯框架。理解複製/移動對權限的差異影響，避免跨分區操作導致權限遺失，配合群組授權與稽核機制，才能駕馭 NTFS 強大而精細的存取控制能力。
