权限只管到「能不能进」不够用：群晖高级共享文件夹权限，把浏览、修改、下载分开控
共享文件夹的常规权限，本质上是"这个人、这个组能不能进这个文件夹"。但企业的真实诉求往往更细：外包人员能上传交付物，但不能下载别人的源文件；归档目录人人可读，但谁也不能改；某目录允许按已知路径存取，却不许浏览全貌。这些"进得去、但只能做其中几件事"的要求，靠常规权限表达不出来——群晖在 控制面板 > 共享文件夹 > 编辑 > 高级权限 里补上了这一层。
什么场景用它最值
一是防外泄的"只进不出"：允许上传、限制下载，适合收集类场景。二是归档防篡改：禁用修改现有文件，目录能续存新内容但历史动不了。三是受限浏览：禁用目录浏览，只许按已知路径存取，摸不到目录全貌。
操作步骤
-
先理清三层权限的层次：常规权限（权限页签）管"能不能进"；高级设置管"进去之后哪些动作被禁"；高级共享权限是叠加在前两者之上的又一道门。为什么：官方明确高级共享权限启用后，用户要同时拥有高级共享权限与 Windows ACL 权限才能查看或修改内容——两层都过才放行，排障时先想清楚自己在查哪一层。
-
按访问动作定禁令：在高级设置里按需勾选 禁用目录浏览 / 禁用修改现有文件 / 禁用文件下载。为什么：官方口径明确——禁用修改现有文件后，用户仍可查看、下载/上传、复制或解压缩内容，只是不能移动、删除或修改；每个开关的真实边界要逐条对齐需求，别望文生义。
-
给受限场景配专用群组。为什么：高级设置的三个禁令"不适用于 administrators 群组的用户"——管理员天生全通行，限制只能落在普通用户与群组上；把外包、访客单独成组，规则才收得干净，也便于日后统一调整。
-
需要子目录级细控时叠加 Windows ACL：共享文件夹的 Windows ACL 权限可细化到子文件夹与文件，再与高级共享权限配合。为什么：官方把高级共享权限定位为"额外一层控制能力"，两层配合才能表达"目录级能进、子目录只读"这类复合规则——单靠一层都表达不全。
-
启用高级共享权限并配置：在编辑对话框勾选启用高级共享权限，单击高级共享权限进行设置。为什么：这是激活"双门禁"的开关；启用后 SMB、AFP、File Station、FTP、WebDAV 这些文件服务访问都会按此校验，覆盖面广，启用前要通知用户，避免大面积"突然进不去"。
-
变更后用不同身份实测。为什么：多层权限叠加最怕"想当然"，用一个受限测试账号分别走 SMB 与 File Station 验证浏览、修改、下载三项行为，比盯着配置界面可靠——权限的实际效果只认实测。
-
把权限模型写进交接文档。为什么：官方有一条容易被忽略的坑——复制用户时，新用户会具有共享文件夹权限，但不具有高级共享权限；批量开号若漏了这层，新人就会"能进但动不了"或"该受限的没受限"，文档里写清才能兜住。
三个必须知道的边界
- 高级设置的三个禁令对 administrators 群组无效——它是给普通用户的约束，不是给管理员的。
- 高级共享权限的校验覆盖 SMB、AFP、File Station、FTP、WebDAV 这些访问路径。
- 复制用户不带高级共享权限——批量建号流程里要补这一步，这也是历史上共享文件夹同步类任务踩过坑的位置。
权限设计做到细处，靠的不是记性，是模型。文件夹一级管进出，高级权限管动作，Windows ACL 管子目录——三层各司其职，外包、访客、归档这些场景才立得住。贵州诚鑫致达科技在为客户搭共享存储时，会把"群组-权限-例外"对应表和三层权限的启用状态一并交付。企业共享目录的权限想理成体系，可以从一张"谁能进、能做什么"的矩阵表开始。