Windows系统下能否创建禁止创建文件/目录的只读目录？

这个问题其实挺常见的——Windows的“只读”属性和权限系统有时候和我们直觉里的不太一样，尤其是面对Cygwin、Java这类跨平台/系统级程序的时候，我来帮你拆解一下原因和解决方法：

为什么之前的设置没用？ #

首先得澄清两个关键点：

• Windows文件夹的**“只读”属性**只是给资源管理器的提示标记，根本不是真正的写入限制——程序完全可以忽略这个属性直接写入。
• 你设置的“拒绝所有用户全部权限”可能没覆盖到所有场景：比如权限没应用到子文件夹/文件、遗漏了SYSTEM/管理员组的权限，或者Cygwin/Java用了特殊的权限上下文绕过了检查。

彻底的解决方案 #

1. 用NTFS权限精确锁死写入（核心步骤） #

NTFS权限才是Windows下真正的访问控制手段，一定要按这个流程配置：

• 右键目标文件夹→属性→安全→高级
• 点击禁用继承，选择“从此对象中删除所有继承的权限”（确保没有遗留的权限条目）
• 点击添加，选择要拒绝的用户/组（比如Everyone、Authenticated Users，甚至Administrators和SYSTEM，根据你的需求）
• 对于每个用户/组，设置以下权限为拒绝，并且要勾选**“将这些权限应用到该文件夹、子文件夹和文件”**：
  • 创建文件/写入数据
  • 创建文件夹/附加数据
  • 写入属性
  • 写入扩展属性
• 点击确定保存所有设置

2. 针对Cygwin的额外处理 #

Cygwin会模拟POSIX权限，可能会忽略部分Windows权限，所以可以补充以下操作：

• 打开Cygwin终端，切换到目标文件夹路径，执行：

  chmod -R 555 /cygdrive/c/YourFolderPath
  

  这个命令会把文件夹和所有内容设置为只读（所有者、组、其他用户都只有读和执行权限），作为NTFS权限的辅助加固。

3. 针对Java程序的额外处理 #

Java程序可能通过底层API绕开常规权限检查，尤其是如果它以SYSTEM账户或管理员权限运行的话：

• 用icacls命令批量设置更精确的权限，打开CMD（管理员模式）执行：

  icacls "C:\YourFolder" /inheritance:r /deny Everyone:(CI)(OI)W /deny Everyone:(CI)(OI)CC /deny Everyone:(CI)(OI)DC
  

  参数解释：
  • /inheritance:r：移除所有继承的权限
  • (CI)：权限应用到子文件夹（容器继承）
  • (OI)：权限应用到文件（对象继承）
  • W：拒绝写入权限
  • CC：拒绝创建文件权限
  • DC：拒绝创建文件夹权限
• 如果Java程序是作为服务运行的，一定要确保拒绝SYSTEM账户的写入权限，避免它绕过限制。

验证是否生效 #

设置完成后，分别用Cygwin创建文件（比如touch test.txt）、用Java程序尝试写入，同时用资源管理器和CMD测试，确保所有场景都无法创建文件或子目录。

内容的提问来源于stack exchange，提问作者Michal Vala