查看和修改 Windows NTFS 权限（icacls）

用 icacls 导出任意文件或文件夹的 ACL，再通过继承控制进行授权、拒绝或重置权限。

Windows文件权限ACL 权限中风险

运行 icacls "D:\Data" 查看 ACL，运行 icacls "D:\Data" /grant "Users:(OI)(CI)M" 授予可继承到子项的修改权限。

01命令

命令

$ icacls "D:\Data"

02作用说明

最容易被遗忘的是权限后缀语法：(OI)(CI) 表示对象继承加容器继承，新建的文件和文件夹也会继承该 ACE；漏掉它们正是“我设了权限但没生效”的原因。icacls /reset 会把混乱的 ACL 树恢复为继承的默认值，是错误 /deny 之后最快的修复手段。/save 和 /restore 以 SID 形式导出和还原 ACL，即使账户被重命名也能恢复，这是纯文本清单做不到的。

03风险

风险中风险

!注意: 对某主体的 /deny 条目会覆盖所有 /grant，而且事后很难发现——除非确实需要显式拒绝，否则优先用 /remove 而不是 /deny。

04撤销

✓无需撤销——该命令不会改变持久状态。

05来源

ICACLS - Windows CMD
SS64 · technical · 2026-09-17
依据: SS64 details icacls syntax for /grant, /deny, /remove and the inheritance rights letters (OI, CI, IO, NP) used in ACE entries.
icacls | Microsoft Learn
Microsoft · vendor-doc · 2026-09-17
依据: Microsoft documents icacls for displaying and modifying discretionary access control lists (DACLs), including /grant with inheritance flags like (OI)(CI).

最后验证: 2026-09-17 · 分类: 安全与隐私