寻求CMD命令：拒绝除特定用户外所有用户访问指定文件夹（icacls尝试未果）

我之前帮很多人调试过icacls的权限配置问题，你说的需求完全可以用它实现，大概率是之前的参数组合或者步骤顺序不对。下面给你一套经过验证的分步操作：

核心逻辑 #

先切断文件夹的权限继承（避免父目录权限干扰），然后拒绝所有用户（Everyone）的访问，最后给目标用户单独授予明确的允许权限——因为针对特定用户的允许权限优先级高于组（Everyone）的拒绝权限，这样就能实现“除了指定用户，其他人都无法访问”的效果。

具体命令（需管理员权限执行） #

请把下面的路径和用户替换成你实际的内容，记得右键CMD选择「以管理员身份运行」，否则会因权限不足失败：

1. 断开权限继承（关键步骤）
   这条命令会把父目录的权限复制到当前文件夹，然后断开继承，确保后续修改不会被父目录覆盖：

   icacls "C:\你的目标文件夹路径" /inheritance:d /T
   

   • /T：递归处理所有子文件夹和文件（如果不需要子文件夹权限同步，可去掉这个参数）

2. 拒绝所有用户的访问权限
   用SID指定Everyone（避免不同语言系统的名称差异，比如中文是「所有人」），拒绝完全控制权限：

   icacls "C:\你的目标文件夹路径" /deny *S-1-1-0:(OI)(CI)F /T
   

   • *S-1-1-0：Everyone组的SID，跨语言通用
   • (OI)(CI)：让权限应用到文件夹内的文件（OI）和子文件夹（CI）
   • F：拒绝完全控制权限（如果只需要拒绝读取，可换成RX；拒绝写入换W）

3. 给特定用户授予允许权限
   替换DOMAIN\你的用户名为实际用户（本地用户用.\用户名，域用户用域名\用户名），授予需要的权限：

   icacls "C:\你的目标文件夹路径" /grant "DOMAIN\你的用户名":(OI)(CI)F /T
   

   • F：完全控制权限，可根据需求替换为RX（读取+执行）、M（修改）等

常见问题排查 #

• 为什么之前用icacls失败？大概率是没断开继承，父目录的允许权限覆盖了你的拒绝设置；或者没用管理员身份执行；或者用了本地化的Everyone名称（比如中文的「所有人」）导致命令识别错误。
• 如果特定用户还是无法访问？检查是否给用户加了正确的允许权限，以及是否有其他组的拒绝权限影响（比如用户在某个被拒绝的组里）。

内容的提问来源于stack exchange，提问作者Lee Wyi