如何查看赋予文件夹访问权限的用户组？解读Windows权限字符串

嘿，你看到的这个字符串是Windows的**安全描述符定义语言（SDDL）**格式，专门用来标准化表示文件/文件夹的权限规则。我给你拆解每个部分的含义，你就能立刻明白背后的权限逻辑了：

整体结构说明 #

SDDL里的D:代表自主访问控制列表（DACL）——就是我们手动设置的那套文件夹权限规则。括号里的内容是一条访问控制项（ACE），每条ACE的固定格式是：
(权限类型;继承标志;权限掩码;对象类型;继承对象类型;主体SID)

逐个拆解(A;OICI;FA;;;WD) #

• A：表示这是一条**允许（Allow）**权限规则，如果是D则代表拒绝（Deny）。
• OICI：这是继承标志的组合，每个字母对应一种继承行为：
  • O（Object Inherit）：子文件会继承这条权限
  • I（Container Inherit）：子文件夹会继承这条权限
  • I（Inherit Only）：这条权限只作用于当前文件夹的子文件和子文件夹，不直接作用于当前文件夹本身
• FA：权限掩码，代表完全控制（Full Access），涵盖了读取、写入、修改、删除等所有权限操作。
• 两个空的;;：分别对应「对象类型」和「继承对象类型」，为空表示这条权限适用于所有类型的对象，没有特殊限制。
• WD：这是知名SID（安全标识符）的缩写，代表Everyone组（对应的SID是S-1-1-0）——所有登录到系统的用户默认都属于这个组。

关于你的权限来源问题 #

你找不到哪个组赋予访问权限，其实答案就在这个编码里：你能对文件夹执行创建子文件夹等操作，是因为Everyone组（也就是WD）被赋予了完全控制权限，而你作为系统用户默认属于这个组，自然就拥有了对应的操作权限。

如果想更直观地查看权限，可以打开命令提示符，执行命令：

icacls "你的文件夹完整路径"

它会输出更易读的权限列表，比如对应这条SDDL的内容会显示为Everyone:(OI)(CI)(F)，一眼就能看明白是Everyone组的完全控制权限。

内容的提问来源于stack exchange，提问作者Martijn Olivier