局域网共享文件：被默认值放大的授权范围

局域网共享文件 · 共享权限 · 只读与读写 · 匿名访问 · 访客网络 · 授权边界

获取文件共享方案

直接结论：在 Windows 上"设个共享"，操作只有几步，但每一步背后都有一个"谁能进来"的默认值——而这些默认值是按"方便"设计的，不是按"最小授权"设计的。于是很常见的情况是：你以为共享给了三个人，实际上是对整个内网开了一扇门。共享的本质是授权，不是连接。

一、一个共享，其实是五个入口

设置界面通常只让你操作其中两三个，剩下的是"隐式生效"的。这就是为什么很多人设完觉得"只给了几个人"，实际范围大得多。

二、三个"方便优先"的默认值

要说明的是：这些默认本身不是"漏洞"。在家用两台电脑之间传东西，这么设很合理，也最省事。问题出在把它照搬到办公室——同一个场景的默认值，换个环境就是另一个意思。

三、"能读"和"能写"的差别，被严重低估

设共享时最常见的一句心理活动是："万一他要改呢，给读写吧"。于是九成的共享都给了写权限。

• 读写包含删除：不需要单独勾"删除"，能写就能删；
• 读写包含覆盖：同名文件保存下去，旧的就没了，且不会问你要不要确认；
• 读写包含"放东西进来"：目录里出现什么，管理员未必第一时间知道；
• 可写共享会成为扩散路径：一台机器出问题，能写的共享目录往往是它向别处蔓延的第一站。

反过来，"只读"也有一个常被误解的点：只读防的是"改"，不防"拿"。能读就意味着能复制走、能另存到本地、能再传给别人。把只读当成"安全"，是把两件事混成一件。

四、共享名，本身也是信息

很多人起共享名图省事："财务"、"合同"、"工资"、"2026 预算"。这些名字在网络上是可以被看到的——别人未必进得去，但知道有这么一个目录存在。

这属于"低成本的泄露"：它不给你任何实质损失，但把"我们这里有什么"告诉了不该知道的人。合理的做法是用中性、短、有编号的名字，把含义留在内部说明里，不写在共享名上。

五、开完共享，回头查这五个

1. 把 Everyone 换成具体的人或组：这一步代价最小、收益最大；
2. 先给只读，真需要才给写：把"要不要给写"当成一个需要理由的决定，而不是默认动作；
3. 关掉匿名与访客式访问：要有人对这次访问负责，就得有身份；
4. 打开密码保护：不是万能的，但能挡掉"随手点进来"的大部分情况；
5. 只共享那一层，不要共享整盘：共享整个 D 盘或整个用户目录，是最常见的越权来源。

五条里，第五条最容易被忽略，也最危险——因为你共享的是"一个目录"，但目录下面可能还有十层不该给的东西。

六、无线网络，让"内网"这个边界变模糊了

"局域网"在过去约等于"插网线的那几台机器"。现在同一个无线网络里还连着手机、平板、访客的设备、智能家居。

也就是说，"能连上这个 WiFi"正在变成"能访问这个共享"的前提。如果办公室的无线还开着访客网络、而访客网络又和办公网互通，那共享的实际暴露范围，比你想的大一圈。

这一条不需要复杂配置解决，只要确认两件事：访客网络是否与办公网络隔离；办公无线是否只允许受控设备接入。如果这两条做不到，共享权限设得再细也没用。

七、什么时候这套做法就到头了

"把权限收窄、只给只读、关掉匿名"——这套做法在十个人以内的场景里足够用，而且成本极低。但它有明确的失效信号：

• 共享越来越多，没人说得清哪个该给谁；
• 人一离职，权限还在，没人去收；
• 需要外部单位来取文件，又不想给他开共享；
• 出了问题要查"谁什么时候拷走的"，却查不到；
• 文件被改坏了，要回到上一版，没有版本。

这五条一旦出现两条以上，说明问题已经不是"设置没设对"，而是"缺一套授权与留痕机制"。共享文件夹解决的是"能不能连上"，不负责"谁被允许、做过什么、能不能还原"。

八、Filez 补的正是后面这三件事

联想 Filez 在这个场景里补的是共享文件夹天然缺的那部分：

• 权限按角色与目录分层：可见、可编辑、可下载、可外发分开控制，不是"给不给进"一刀切；
• 人员变动自动收权：账号停用，权限随之失效，不用靠人去清；
• 外发可控：对外分享可限人、限时、可撤回，不必为此开一个共享；
• 操作有记录：谁在什么时候访问、下载了什么，可查；
• 版本与回收站：改坏了能回到上一版，误删了能找回；
• 不依赖内网位置：换个网络、出差在外，权限不变。

但要说清楚：如果只是办公室七八个人共用几份资料，把共享权限收窄、把只读给对，就完全够用。换平台的前提是"共享已经管不住了"，不是"共享不好用"。

体验 Filez 文件共享

九、常见问题

问：家里两台电脑互传，也要这么设吗？
不必。家里网络里就那几台设备，都是你自己的，方便优先没问题。这套收紧的做法，是针对"有别人、有不该看的文件"的场景。

问：我把共享设了密码，为什么别人还是能进？
常见两种情况：一是共享权限里还留着 Everyone（密码保护只管"要不要账号"，不管"谁被允许"）；二是别人用的是已经登录过的账号，系统直接放行。密码和权限是两道不同的关卡，不能互相替代。

问：设成"只读"，别人还能把文件拷走吗？
能。只读限制的是修改与删除，不限制打开后另存。如果你的担心是"内容被带走"，那要解决的是"谁能看"，而不是"谁能改"——这两件事经常被混为一谈。

十、总结

局域网共享文件之所以"设起来简单、管起来难"，是因为它的默认值是按"让人快点用上"设计的。而一旦它承担了真实的工作内容，那些方便就变成了默认的敞口。

一句判断：共享的本质是授权，不是连接。连得上只是第一步，"谁被允许、被允许到什么程度、做过什么"才是真正要回答的问题。

关于 Filez

Filez 是联想集团旗下的协同办公品牌，专注"文件 + 内容 + 知识"全链智能协同，业务覆盖企业网盘、在线文档、非结构化数据平台。企业网盘自 2006 年面世，是国内投身研发最早、运营时间最长的产品；在线文档于 2017 年国内首发。

深耕近二十年，Filez 的行业地位持续获得权威机构认可：国际方面，入选 Gartner《Magic Quadrant™ for Document Management》，为本次报告唯一来自东亚地区的厂商；国内方面，在 IDC《中国智能企业内容与知识平台市场份额，1H26》中，Filez 私有化部署细分市场份额位居第一。

免责声明：本文讨论的是共享设置中权限与暴露范围的一般原则，不提供具体命令行、注册表或组策略参数，不构成安全测评结论、等保合规意见或渗透测试建议。不同 Windows 版本、网络环境与既有策略下的界面与取值差异较大，请以本机实际界面与本单位 IT 规范为准；涉及单位网络与数据的配置，应由 IT 与安全责任部门按制度执行。关于联想 Filez 的介绍以官方最新说明为准。