如何保护Nextcloud文件夹结构不被修改/删除，同时开放文件操作权限

核心思路 #

不要直接共享顶级的Folder 1/Folder 2，通过文件系统权限锁定父级文件夹修改 + 仅共享底层子文件夹的组合方式，从底层和应用层双重保护初始文件夹结构。

具体操作步骤 #

1. 调整本地外部存储的文件系统权限

   • 先确保Nextcloud运行用户（通常为www-data）对整个外部存储目录有基础访问权限，再给父级文件夹设置只读权限，彻底禁止修改：

     # 锁定Folder 1及其中间层Folder 1-2
     chmod 555 /path/to/your-external-storage/Folder\ 1
     chmod 555 /path/to/your-external-storage/Folder\ 1/Folder\ 1-2
     # 锁定Folder 2及其中间层Folder 2-1
     chmod 555 /path/to/your-external-storage/Folder\ 2
     chmod 555 /path/to/your-external-storage/Folder\ 2/Folder\ 2-1
     

   • 给需要操作的底层子文件夹开放读写权限：

     chmod 775 /path/to/your-external-storage/Folder\ 1/Folder\ 1-2/Subfolder\ 1-3
     chmod 775 /path/to/your-external-storage/Folder\ 2/Folder\ 2-1/Subfolder\ 2-3
     

   • 确保Nextcloud运行用户属于这些子文件夹的用户组，避免权限冲突。

2. 在Nextcloud内配置共享权限

   • 直接在Nextcloud中找到Subfolder 1-3和Subfolder 2-3，分别共享给目标用户组
   • 共享时给该组分配创建、编辑、删除、下载权限（勾选「允许编辑」即可覆盖这些权限），用户可在子文件夹内自由操作文件和新建子文件夹，但无法修改父级结构。

3. 可选：用Nextcloud应用强化限制

   • 启用「文件访问控制」应用，添加规则：禁止目标组用户修改/删除路径匹配Folder 1/*、Folder 1/Folder 1-2、Folder 2/*、Folder 2/Folder 2-1的文件夹
   • 或者用「工作流」应用设置拦截规则，当用户尝试删除父级文件夹时直接阻止操作。

为什么之前的方法无效 #

直接共享顶级文件夹时，即使在Nextcloud内调整权限，用户仍能看到父级文件夹的操作菜单；而通过文件系统层面锁定父级只读，再仅共享子文件夹，从根源上切断了用户修改初始结构的可能，同时保留子文件夹的操作权限。

内容的提问来源于stack exchange，提问作者e4rthdog