「这个文件夹谁能看」：靠人脑记权限，记不住的
文件服务器上的文件夹权限，往往是这样一点点堆起来的：新员工入职加一条权限、项目结束忘了收回、部门重组又叠加了一层继承规则……几年下来，没有任何一个人能凭记忆说清楚”这个文件夹现在谁能访问”。这不是哪个人的疏忽，是权限管理这件事的天然规律——靠人脑记，一定会记不住。
解法：定期批量导出权限报表
用专门的权限导出工具，对文件服务器的关键目录做批量扫描，产出「文件夹 × 用户/组 × 权限级别」的结构化报表（Excel 或类似的可筛选格式）。这不是一次性的动作，而是应该定期重复执行的例行工作。
从”我记得好像是……”到”报表上写着……”
一份权限报表能回答的三个问题
-
谁对这个敏感文件夹有权限？ —— 这是离职审计、安全事件排查时最先被问到的问题。有报表在手，答案是几分钟的事；没有，就是翻遍 AD 用户组配置的几个小时；
-
权限继承链在哪一层断开、又在哪一层被重新放开？ —— NTFS 权限最容易埋雷的地方就是继承规则：上级目录设了严格权限，某个子目录却手动”重新放开”继承并单独授权，这类偏离默认继承规则的例外，只有全量导出报表才能系统性地发现，靠人工逐层点开检查几乎不可能覆盖所有目录；
-
和上一次的报表比对，谁的权限被悄悄改动过？ —— 这是变更审计最实用的用法：定期导出的报表存档下来，两次导出一比对，任何未经记录的权限变更（无论是有意还是操作失误）都会现出原形。
配套要做的事
- 导出后归档，不是导出完看一眼就丢——历史版本才是变更比对的价值所在；
- 针对特别敏感的目录（人事、财务、法务相关），导出频率应该比普通业务目录更高；
- 发现权限继承链异常时，先搞清楚这是不是当初有意为之（比如某个子目录确实需要给特定角色额外授权），再决定要不要收回——批量导出发现的是”异常”，不代表异常一定是”错误”。
教训
- 权限管理不能靠”应该没人动过”的假设——没有报表在手，这句话只是猜测，不是事实；
- 批量导出的价值不在于替代人的判断，而在于把海量的检查工作变成可以快速筛选的数据，让人的判断力用在真正需要判断的地方（这个例外权限是不是有意的），而不是花在机械地逐层点开检查上；
- 这套方法论不只适用于文件服务器——任何权限层层叠加、容易随时间腐化的系统（数据库权限、SaaS 应用的团队权限）都适用同样的思路：定期批量导出，比对，审计。