SMB 拒绝访问：不要给 Everyone 完全控制权限

紧急情况： 修改组或文件夹权限后，财务部门无法访问共享。服务器名称能解析，网络路径正常，却出现 Access is denied。给 Everyone 完全控制权限，可能掩盖错误，同时破坏文件夹的访问边界。

在正确层面调查

记录准确共享名、实际目录及受影响账户。Administrator 账户不能代表普通用户体验。如果失败发生在 SMB 协商、认证或客户端安全策略阶段，不要用修改文件夹 ACL 来处理；应先定位失败阶段和相关日志。

同时检查两组权限

通过网络访问时，共享权限和文件系统权限都必须合适。以下示例在具备适当管理权限的 Windows 文件服务器上只读取状态。共享名和路径为示例，必须替换为实际环境：

Get-SmbShare -Name 'Finance' | Select-Object Name, Path
Get-SmbShareAccess -Name 'Finance'
Get-Acl -LiteralPath 'D:\Shares\Finance' |
    Format-List Owner, AccessToString, AreAccessRulesProtected

将输出与最近正常状态比较。用户组成员身份、Deny 规则、继承权限，以及文件夹与内部文件权限的差异都很重要。仅在 ACL 中看到组名，并不能证明用户具有足够的有效权限。

做最小且能解释的修正

如果最近变更移除了某个组，或修改了该分支的继承关系，只修正确认的差异。修改前保存当前权限，以明确回退路径。不要一开始就重置整棵目录树的权限，或更改所有文件的所有者。

组成员发生变化后，旧会话可能仍使用先前登录上下文。先保存打开的文件，再使用新的用户登录和会话测试；不要同时断开所有用户。禁用 SMB 签名、关闭加密或启用 Guest，也不是 Access denied 的通用解法。

用真实账户确认恢复

使用受影响账户测试真正需要的操作：只读，或者在授权目录创建和编辑测试文件。再用目标组以外的账户检查，确保没有意外开放访问。财务恢复访问的同时，未授权用户仍必须被排除。

关键决策： 在正确路径为正确组恢复必要权限，而不是为了快速消除错误就开放整个目录。

技术参考: Microsoft / SMB · Microsoft / Share ACL · Microsoft / File ACL.