共享文件夹里看不到其他部门的文件夹是怎么设置的

公司文件服务器上有一个大共享，里面按部门分了财务、人事、技术等子文件夹。奇怪的是，财务的同事进去只看到"财务"一个文件夹，人事和技术部门的文件夹根本不显示，就像不存在一样。我也想在自己管的共享上实现这种效果——每个部门的人只看到自己的文件夹——应该怎么设置？

原因

对方用的是"基于访问权限的枚举"（Access-Based Enumeration，简称 ABE）。开启后，用户浏览共享时，系统会对照他的 NTFS 权限，把无权访问的文件夹直接从列表里隐藏。员工看不到别的部门的文件夹，不是文件夹被删了，而是被 ABE 按权限"过滤"掉了。

要注意两点：一是 ABE 只对"完全无权限"的文件夹隐藏；如果用户对某文件夹有任何有效读取权限，它照样显示。二是 ABE 只是隐藏，不是权限本身——知道确切路径的人直接输 \\服务器\共享\人事 还是会被权限拦住（如果确实没权限）。

解决办法（Windows Server）

1. 打开服务器管理器 → 文件和存储服务 → 共享，找到目标共享，右键"属性"。

2. 在"设置"（或"高级"）页勾选"启用基于访问权限的枚举"，确定保存。

3. 用 PowerShell 一条命令也能开：

   Set-SmbShare -Name "公司共享" -FolderEnumerationMode AccessBased
   

4. 关键配套：把共享根目录的权限设计好——共享权限给 Authenticated Users 读取，NTFS 权限在各子文件夹上只给对应部门的域安全组（如"财务部"组只授权在"财务"文件夹上），其他组不给任何权限。这样 ABE 才有东西可隐藏。

5. 验证：用一个普通财务账号登录任一台电脑打开共享，应只看到"财务"文件夹；再用技术部账号看，应只看到"技术"。

6. 如果用的是 DFS 命名空间（\域名\公司文档），在 DFS 管理里对命名空间同样可以启用 ABE，右键命名空间 → 属性 → 高级 → 勾选"启用基于访问权限的枚举"。

NAS 场景：群晖 DSM 在编辑共享文件夹时可以勾选"隐藏没有权限的用户的子文件夹和文件"，效果等同；华为、NetApp 等企业存储的 CIFS/SMB 共享也都支持 ABE。

预防

• ABE 要和"按组授权"配套才有意义：所有部门文件夹都继承 Everyone 读取的话，开了 ABE 等于没开。先梳理权限矩阵，再开 ABE。
• 共享根目录保留 Authenticated Users 的读取/列出权限，否则用户连共享根都进不去。
• 记住 ABE 是体验优化和安全辅助，真正的防线永远是 NTFS 权限本身，别拿隐藏当安全。