关于Windows环境下通过CMD/PowerShell修改文件夹安全选项卡常规权限的技术咨询

嗨，Nicola！我来帮你理清这个权限修改的问题～

首先咱们得搞明白：你看到的安全选项卡红框里的常规权限，其实是系统预定义的特殊权限组合（比如“完全控制”就是一堆特殊权限的集合）。你之前用icacls添加的权限之所以出现在高级选项卡里，大概率是显示逻辑或者继承设置的问题，不是命令本身错了。

先说说CMD里的icacls怎么改常规权限 #

你用的这条命令其实是对的：

icacls "C:\Users\Administrator\Desktop\prova\Folder" /grant DELL-XPS\prova:F

这里的:F对应的就是完全控制这个常规权限项。之所以你一开始没在红框里看到，可能是这两个原因：

• 文件夹继承了父文件夹的权限，新添加的权限和继承权限合并后，常规选项卡默认只显示合并后的结果，而高级选项卡会分开展示继承和直接应用的权限；
• 你可能没刷新安全选项卡，或者没在“组或用户名”列表里找到你添加的用户。

如果想让新权限完全替换掉继承的权限（也就是让它明确显示在常规红框里），可以先取消继承再添加权限：

icacls "C:\Users\Administrator\Desktop\prova\Folder" /inheritance:d
icacls "C:\Users\Administrator\Desktop\prova\Folder" /grant DELL-XPS\prova:F

/inheritance:d的作用是把继承的权限复制到当前文件夹，然后取消继承，这样你添加的新权限就会作为直接应用的项，明确显示在常规选项卡的红框里。

再说说域环境下更推荐的PowerShell方法 #

PowerShell的ACL对象操作在域环境下更灵活，也更适合自动化脚本（毕竟你要写VB软件调用这些命令）。下面是添加常规权限的步骤：

1. 获取目标文件夹的ACL对象：

$folderPath = "C:\Users\Administrator\Desktop\prova\Folder"
$acl = Get-Acl -Path $folderPath

2. 创建对应常规权限的访问规则（这里以完全控制为例）：

# 定义域用户/组
$user = New-Object System.Security.Principal.NTAccount("DELL-XPS\prova")
# 参数依次是：用户、权限（FullControl对应完全控制）、继承规则、传播规则、权限类型
$permission = $user, "FullControl", "ContainerInherit,ObjectInherit", "None", "Allow"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($permission)

3. 添加规则并应用到文件夹：

$acl.AddAccessRule($accessRule)
Set-Acl -Path $folderPath -AclObject $acl

执行完这些命令后，你再打开安全选项卡的常规页，就能在红框里看到这个用户的完全控制权限了。

域环境下CMD vs PowerShell的区别 #

• CMD的icacls：语法简单，适合快速执行单条权限命令，但处理复杂场景（比如修改现有权限、精细控制继承）比较麻烦，而且在域环境下如果涉及大量用户/组批量操作，灵活性不足；
• PowerShell的Get-Acl/Set-Acl：以对象方式操作权限，能精准控制每一个权限细节（比如继承、传播、审核规则），更适合自动化脚本开发，在域环境下处理域用户、组的权限时也更可靠，不容易出现格式错误。

给你的小建议 #

如果你只是要添加预定义的常规权限（完全控制、修改、读取等），icacls完全够用，记得检查“组或用户名”列表里有没有你添加的用户；如果需要更复杂的权限配置（比如批量修改、取消继承、自定义权限组合），优先用PowerShell的ACL操作，更适合你后续用VB开发自动化工具的需求。

备注：内容来源于stack exchange，提问作者Nicola