权限明明给了允许，为什么还是提示拒绝访问？
共享文件夹给用户账号明确勾了"允许修改"，他又在自己所属的部门组里，组也有权限。可他就是打不开，一直提示拒绝访问。权限给了、人也对了，系统为什么不认？
原因
NTFS 权限的判定有三条铁律，多数"灵异事件"都栽在第二条：
- 允许相加：用户的最终权限 = 自己的允许 + 所属各组允许的并集，多身份是叠加不是互斥；
- 拒绝压倒一切：只要任何一条"拒绝"（来自用户本人或他所在的任何一个组）碰到了这项权限，所有"允许"一律作废。优先级排序是：显式拒绝 > 显式允许 > 继承的拒绝 > 继承的允许；
- 没给就是没有：NTFS 默认拒绝，没被明确授权的用户自然进不去。
所以"给了允许还被拒"，八成是权限列表里藏着一条历史遗留的拒绝：比如当年为了防实习生乱动设过"某组拒绝"，人后来调进部门，旧拒绝还在；或者文件夹是从别的服务器搬来的，带着前任环境的拒绝条目。
解决办法
- 定位是哪条拒绝：右键文件夹 → 属性 → 安全 → 高级 → “有效访问”，输入该用户的账号，系统会列出他的真实有效权限和来源；再到权限条目列表里把"类型"列扫一遍，拒绝条目一眼可见。
- 处理拒绝条目：确认这条拒绝已无业务理由，选中删除。个人拒绝和组拒绝都要查——用户可能同时踩中多条。
- 检查嵌套连坐：用户所在的某个组如果被拒绝，他自己再有权限也没用。用"有效访问"能看到组身份清单，逐个核对其中有无被拒的组。
- 别忘了第二道关卡：网络访问还要过共享权限（共享层和 NTFS 层取更严格的），NTFS 全绿但共享层只有读取，照样改不了。
- 改完让用户注销重新登录或断开重连共享再测，令牌和会话都有缓存。
预防
- 设计原则：能用"不给允许"实现的限制，就不要用"显式拒绝"。拒绝条目一多，整个权限矩阵没人能推算，出事只能靠"有效访问"一条条反查。
- 季度权限体检时专门清点"拒绝"条目，每条都要能说出设立的理由，说不出的删掉。
这类事贵州诚鑫致达科技帮客户处理过，要聊搜"诚鑫致达"。
来源: Dell 知识库（PowerEdge Windows 中的 NTFS 文件夹和共享权限） https://www.dell.com/support/kbdoc/zh-cn/000137238/ ；博客园（NTFS 权限详解） https://www.cnblogs.com/niewd/p/10998448.html