需通过NTFS权限系统精确控制访问：一、在安全选项卡中为用户分配读取/执行等基础权限；二、非所有者需先获取所有权；三、禁用继承以避免上级覆盖；四、用icacls命令行授予权限；五、网络共享时须同步配置共享与NTFS权限。
如果您希望限制特定用户对某个文件或文件夹的打开、读取或编辑行为，则需通过NTFS权限系统精确控制访问能力。以下是实现该目标的具体操作步骤：
一、通过安全选项卡配置文件或文件夹的NTFS权限
此方法适用于为指定用户或组直接分配基础访问权限，如仅允许打开（读取）但禁止修改，是本地文件访问控制中最常用且直观的方式。
1、右键点击目标文件或文件夹，选择【属性】。
2、在属性窗口中，切换到【安全】选项卡。
3、点击【编辑】按钮以修改当前权限列表。
4、在弹出的窗口中，点击【添加】，在“输入要选择的对象名称”框中输入用户名（如YourName）或组名（如Users），点击【检查名称】确认有效性。
5、选中刚添加的用户或组，在下方权限列表中勾选所需权限：若仅允许打开查看，勾选读取和执行、列出文件夹内容、读取；若还需保存修改，额外勾选写入；若需完全控制，勾选完全控制。
6、点击【应用】，再点击【确定】保存更改。
二、获取文件或文件夹所有权后再设置权限
当您不是该文件或文件夹的所有者时，“编辑”按钮可能呈灰色不可用状态，此时必须先取得所有权，才能进行后续权限配置。
1、右键目标文件或文件夹，选择【属性】，进入【安全】选项卡。
2、点击【高级】按钮，打开高级安全设置窗口。
3、在“所有者”字段右侧，点击【更改】链接。
4、在“输入要选择的对象名称”框中输入您的登录用户名，或点击【高级】→【立即查找】，从搜索结果中选择您的账户。
5、点击【确定】返回上一级窗口。
6、勾选替换子容器和对象的所有者（若需对整个文件夹及其全部子项生效）。
7、点击【应用】，再点击【确定】完成所有权转移。
三、禁用权限继承并建立独立权限规则
此操作可切断文件或文件夹与父级目录的权限继承关系，避免上级策略覆盖本地设置，从而确保所设“仅允许打开”等限制真正生效。
1、右键目标文件或文件夹，进入【属性】→【安全】→【高级】。
2、点击【禁用继承】按钮。
3、在弹出的对话框中选择从此对象中删除所有已继承的权限（注意：此操作不可逆，原继承规则将被清除）。
4、点击【是】确认删除。
5、此时权限列表为空白状态，点击【添加】启动新权限条目创建流程。
6、在“输入要选择的对象名称”处填写目标用户或组名，点击【检查名称】确认。
7、为其分配所需权限级别，例如仅勾选读取和执行、读取，不勾选写入或修改，点击【确定】保存。
四、使用icacls命令行工具精确设置打开权限
该方法适用于需批量处理、规避图形界面限制或实现自动化脚本部署的场景，支持递归应用且权限粒度更细，可单独授予“读取”而不附带执行权。
1、按Win + R组合键打开“运行”对话框，输入cmd，右键以管理员身份运行命令提示符。
2、输入以下命令为指定用户授予仅读取权限（不包含执行）：icacls "C:\Path\To\File" /grant User:(R)。
3、若需同时允许打开（即读取+执行），使用：icacls "C:\Path\To\Folder" /grant User:(RX)。
4、若需递归应用至所有子文件和子文件夹，添加/t参数：icacls "C:\Path\To\Folder" /grant User:(RX) /t。
5、执行后系统将显示成功提示，无需手动点击确认。
五、同步配置共享权限与NTFS安全权限（网络访问场景）
当通过网络路径（如\\ComputerName\Folder）访问时，共享权限与NTFS权限共同起效，系统最终采用二者中更严格的权限限制，因此必须协同设置以确保“仅允许打开”策略完整落地。
1、右键目标文件夹，选择【属性】→【共享】选项卡，点击【高级共享】。
2、勾选【共享此文件夹】，点击【权限】按钮。
3、在共享权限窗口中，点击【添加】，输入目标用户或组名。
4、选中该用户，在权限列表中仅勾选读取，取消勾选“更改”和“完全控制”。
5、点击【确定】关闭共享权限窗口，再点击【确定】关闭高级共享窗口。
6、返回【安全】选项卡，按第一种方法设置对应用户的NTFS权限，确保其同样仅含读取和执行与读取。
