Windows 11 文件夹权限怎么设：限制指定账户访问，同时保留管理员入口

最稳妥的做法不是删除整个 Users 用户组，而是只给目标账户添加明确的“拒绝”权限，同时给管理员个人账户和管理员组保留“允许”权限。Windows 的规则是：同一个账户命中拒绝规则时，拒绝优先。这样既能挡住目标账户，也不会误伤管理员。需要注意，“管理员入口”应来自另一个管理员账户；同一个账户不能既被完全拒绝，又同时保持可访问。

适用设备与系统版本

1. 适用于 Windows 11 专业版、企业版、教育版，以及家庭版中仍显示“属性→安全→高级”的设备。本文针对单机电脑上的本地 NTFS 文件夹。
2. 适用于本地账户，以及已经登录这台电脑的微软账户。公司域账户、NAS 局域网共享、百度网盘等云盘需要使用各自服务端的权限功能。
3. 如果“安全”或“高级”按钮被公司策略隐藏，应联系 IT 管理员处理，不建议安装来源不明的“权限修改工具”。

第一步：确认目标账户不是管理员

1. 先保留至少一个能够登录的管理员账户。最好准备另一个本地标准账户做测试：打开“设置→账户→其他用户→添加账户→添加没有 Microsoft 账户的用户”。
2. 查看目标账户是否属于管理员组。对本地账户，可进入“设置→账户→其他用户”，点选目标账户后选择“更改账户类型→标准用户”。
3. 如果没有该按钮，或目标使用微软账户，可按 Win + R，输入 lusrmgr.msc。在左侧展开“组”，双击管理员组 Administrators，选中目标账户后点“移除→确定”。这一步必须由另一个管理员操作，不要移除系统唯一的管理员账户。
4. 修改完成后注销目标账户再重新登录，让新的账户权限生效。

第二步：设置文件夹所有者和继承方式

1. 右键需要限制的文件夹，选择“属性→安全→高级”。进入窗口后先找到“所有者”一栏，点击“更改”。
2. 选择实际使用的管理员个人账户；如果某个子文件夹仍归目标账户所有，可勾选“替换子容器和子对象的所有者”。不要把所有者设为受限账户，否则对方可能通过所有者身份重新修改权限。
3. 在“权限”区域点击“禁用继承”，选择“将继承的权限转换为显式权限”。不要直接选择“移除所有继承权限”，除非准备重新配置所有用户。
4. 检查现有权限条目。如果看到针对 Everyone、Users 或 Authenticated Users 的整组“拒绝”项，应先移除，否则管理员也可能被挡住。

第三步：给指定账户添加拒绝权限

1. 在“高级安全设置”的“权限条目”区域点击“添加”，打开“选择用户或组”窗口。
2. 输入目标账户，例如 电脑名\用户名；微软账户可以输入其登录邮箱后点“检查名称”，确认它正确解析到这台电脑上的用户。
3. 在“基本权限”页面把“类型”设为“拒绝”。如果目标账户已有允许项，可以保留，因为针对该账户的直接拒绝优先于来自用户组的允许。
4. 将“应用于”设为“此文件夹、子文件夹和文件”，勾选“完全控制”，再点“确定”。这样目标账户将无法进入目录、读取或修改内容。
5. 如果只想禁止修改、仍允许查看，不要勾选“完全控制”；保留读取和列出文件夹权限，只拒绝写入、删除以及更改权限等项目。

第四步：保留管理员访问入口

1. 再次点击“添加”，选择当前实际使用的管理员个人账户，把类型设为“允许”，勾选“完全控制”，并应用于此文件夹、子文件夹和文件。
2. 确认管理员组 Administrators 以及系统账户 SYSTEM 保留“完全控制”。已有继承项时可以保留，但最好转换或添加为明确允许项。
3. 不要给 Everyone、Users、Administrators 或 SYSTEM 添加整组拒绝。拒绝规则的优先级高于允许规则，整组拒绝会让管理员也失去访问能力。
4. 连续点击“应用→确定”保存设置。

第五步：分别验证受限账户和管理员

1. 注销目标账户后重新登录，尝试打开文件夹。正常情况下会提示“拒绝访问”，或者无法进入和读取内容。已经打开的文件夹可能暂时仍显示，关闭资源管理器或注销后再次测试即可。
2. 用管理员账户确认文件夹可以正常打开。如果普通窗口仍被拦截，检查管理员个人账户的明确允许项，并用“终端（管理员）”再次验证。
3. 检查重要子文件夹。如果某个子文件夹关闭了权限继承，它会使用自己的规则，需要单独调整，否则可能出现父目录已限制、子目录仍能访问的情况。

权限误锁后的恢复方法

1. 使用另一个管理员账户登录，打开“文件夹属性→安全→高级”，在“权限条目”中找到目标账户的“拒绝”项并删除。
2. 点击“启用继承”，再按需要删除之前添加的自定义允许项；最后确认所有者仍是计划中的管理员账户。
3. 如果连属性都无法打开，可在“终端（管理员）”中执行 takeown /F "D:\受控文件夹"，把路径替换成实际文件夹路径。该命令只接管这一层文件夹的所有权，不会删除文件；接管后再删除拒绝项。

注意事项

1. 目标账户与管理员账户不能是同一个。只要目标仍是管理员，它就可能借助提升权限或接管所有权绕过限制。
2. 不要为了“简单省事”拒绝整个用户组。直接拒绝指定账户，既能压过该账户原有的用户组权限，也不会影响其他普通用户。
3. 如果父目录允许目标账户删除子项目，目标账户仍可能尝试删除或改名受控文件夹。要彻底防止这种情况，应使用专用父目录，并同时限制父目录的删除子项权限。
4. NTFS 文件夹才能使用完整的访问控制列表。FAT32、exFAT、U 盘或网络共享上的效果取决于对应文件系统及共享设置。
5. 正式使用前先复制一份测试目录进行验证，并保留第二个管理员账户，避免误操作后无人能够恢复权限。

小结

设置 Windows 11 文件夹权限时，关键是“四件事”：目标账户改为标准用户、所有者交给管理员、只给目标账户添加直接拒绝、为管理员个人账户和管理员组保留明确允许。按照上述步骤测试无误后，再应用到正式目录。