Windows XP NTFS 權限設定核心原則與實務操作全解析

前言

在 Windows XP 中管理 NTFS 權限時，必須掌握四大核心原則：「拒絕優於允許」、「權限最小化」、「權限繼承」與「累加原則」。本文深入解析各原則運作邏輯，並補充檔案與資料夾權限優先序、複製/移動行為差異、Administrators 群組特權等實務細節，助您建立安全且可維護的權限架構。

四大基本原則詳解

1. 拒絕優於允許

當使用者同時屬於多個群組，且對同一資源有「允許」與「拒絕」衝突權限時，「拒絕」永遠生效。

案例： 用戶 shyzhong 同時屬於「xhxs」（允許寫入）與「shyzhongs」（拒絕寫入）群組。雖 xhxs 給予允許，但因 shyzhongs 設定拒絕，最終 shyzhong 無法寫入該資源。

2. 權限最小化

預設用戶對資源無任何權限，必須明確授予所需最低權限（如唯讀），避免過度授權造成安全風險。

3. 權限繼承

子資料夾/檔案預設自動繼承父資料夾權限。只需在根資料夾設定，即可自動套用至所有子層，大幅簡化管理。

4. 累加原則

用戶實際權限 = 所屬所有群組權限之總和（允許權限疊加）。若用戶屬於 A 群組（讀取）與 B 群組（寫入），實際擁有「讀取+寫入」權限。

關鍵補充規則

檔案權限優於資料夾權限

對單一檔案的明確權限設定，優先於其所在資料夾的繼承權限。此規則常被忽略，實際操作中請特別注意。

Administrators 群組擁有「取得所有權」特權

即使一般用戶設定獨佔權限，Administrators 成員仍可透過「取得所有權」奪回控制權，此為系統設計機制，無法透過一般權限設定阻擋。

實務操作：移除 Everyone 完全控制

1. 右鍵資源 → 內容 → 安全性頁籤。
2. 編輯 Everyone 的 ACE，取消「完全控制」勾選。

複製與移動對權限的影響

原理： 跨磁碟機移動 = 複製 + 刪除原檔，因此權限行為同「複製」。

總結建議

• 善用「繼承」減少重複設定，僅在例外處中斷繼承並明確設定。
• 遵循「最小權限」，避免濫給「完全控制」。
• 利用「拒絕」精準封鎖特定用戶/群組，但慎用以免管理混亂。
• 跨磁碟機移動部署前，務必確認目標資料夾權限設定正確。